微软将于下周修复遭受攻击的Office漏洞 环球信息

微软今天表示，下周将发布5个安全更新，这是今年以来最少的一个月，以修补Internet Explorer (IE)、Windows和Office的23个漏洞。

(资料图片)

一名研究人员称，Office的更新将解决一个目前被黑客利用的漏洞。

亚利桑那州斯科茨代尔(Scottsdale)的安全和法医分析师保罗·亨利(Paul Henry)说:“利用这一漏洞在野外进行的攻击有限。”Lumension公司在电子邮件中写道。“虽然人们不认为它为公众所知，但在某种程度上，它正在被积极利用。”亨利补充说，这些漏洞已经通过恶意文件通过电子邮件发送给潜在的受害者。

根据微软周四发布的预先通知，Office将被公告5 (Bulletin 5)打上补丁。公告5是一个占位符名称，将于下周正式公布。Bulletin 5将更新Office 2003，这是一个10年的版本，将在2014年4月获得退休文件，最新版本为OS X, Office为Mac 2011。

Tripwire旗下nCircle security的安全运营主管安德鲁•斯托姆(Andrew Storms)对此次更新的目标感到困惑，该更新针对的版本不仅由操作系统分隔，而且还相隔8年。当被问及Office 2003和Office for Mac 2011有什么共同之处时，storm说:“我不知道。”

尽管Office漏洞目前正在被利用，但Henry、Storms和其他人却把焦点放在了IE更新的电子公告1上。

斯托姆斯说:“你不需要等到周二才确定优先事项。”“很明显，IE(更新)排在榜首。”

Bulletin 1将对所有受支持的IE版本进行补丁，从已有12年历史的IE6到2012年的IE10。公告1是唯一一个被认定为关键的，在微软的四步系统中威胁排名最高的。Henry说，Bulletin 1将在下周的五次更新中修补23个漏洞中的19个。

Qualys漏洞实验室主任Amol Sarwate在一封电子邮件中解释说:“如果不打补丁，这个漏洞会导致远程代码执行，这意味着如果受害者使用IE浏览一个畸形的网站，攻击者可以控制受害者的电脑。”“由于浏览器是通向互联网的窗口，IE用户应该在这个补丁发布后立即应用它。”

风暴说得更简洁。他表示:“这些漏洞可能会被用于飞车攻击。”他指的是潜伏在恶意网站或受感染网站上的攻击，一旦有脆弱的浏览器访问，这些攻击就会触发。“但话又说回来，我想不出有哪个IE漏洞不是从身边经过的。”

其他三个更新——比如公告5，被微软标记为“重要”——会影响Windows。不过，这三款操作系统中的两款不同寻常之处在于，虽然它们不影响最老的客户端操作系统Windows XP，但它们将修复Windows 7、Windows 8和Windows RT中的缺陷。

如果补丁没有部署到所有版本的Windows上，它们通常会应用到旧版本，而不是新版本。当相反的情况发生时，Storms说，这是因为在新特性或服务中发现了漏洞，或者在完全重写的代码中发现了漏洞，而不是简单地从一个版本转移到下一个版本。

微软没有透露三次Windows更新中的一次是否会修补谷歌安全工程师Tavis Ormandy两周前披露的内核缺陷。Ormandy并没有将他的发现报告给微软，而是将信息发布到完整的安全邮件列表中。

Rapid7公司安全工程高级经理罗斯·巴雷特推测，公告4可能包含了奥曼迪发现的修正。“公告4…大致符合奥曼迪的弱点，”巴雷特在今天的电子邮件中说。“然而，过去一年的每个月都有一个或多或少符合这种情况的条件。”

周二发布的6月补丁将标志着今年已经走了一半:包括下周发布的5个公告，微软将发布51个更新，比2012年上半年增加了21%，但比2011年同期减少了2%。

微软将于东部时间6月11日下午1点左右发布下周的安全更新。

标签： 电子邮件 操作系统 安全更新 研究人员