微软修补关键的Internet Explorer零日漏洞

本周早些时候，微软向其流行的Internet Explorer浏览器用户发出了重要的安全警告。 微软周二写道：“微软正在调查所有受支持版本的Internet Explorer中的漏洞的公开报告。” “ Microsoft意识到有针对性的攻击试图利用Internet Explorer 8和Internet Explorer 9中的此漏洞。”

它能做什么

使用此漏洞，攻击者可以在不知情的情况下，使用特制的网站远程执行与受害者具有相同权限的代码。 受害者所要做的就是单击恶意链接。

微软写道：“该漏洞以Internet Explorer访问内存中已被删除或未正确分配的对象的方式存在。” “漏洞可能以允许攻击者在Internet Explorer中当前用户的上下文中执行任意代码的方式破坏内存。” 根据同一安全公告，承载用户制作的内容或广告的网站也可能会被用来传播此漏洞。

可能会变得更糟

即使Microsoft引导人们进行修复，攻击者仍然可以充分利用此漏洞。 Neohapsis安全顾问Patrick Thomas说：“漏洞利用工具包编写者积极地对Microsoft补丁进行逆向工程。” “因此，尽管最初将这种攻击限制在一小部分目标上，但它很可能会包含在各种商业攻击工具包中，并在接下来的1-5周内广泛应用。”

尽管野外攻击似乎受到限制，但Websense报道该漏洞是一个很大的漏洞，据报道70％的企业用户是易受攻击的。 Lumension安全分析师Paul Henry写道：“这是一个范围非常广泛的补丁，会影响从XP到RT的所有操作系统的IE的所有版本。”

你能做什么

Microsoft写道，该公司目前正在调查此问题，并将决定是发布周期外系统更新还是仅等待下一个计划的安全发布（即10月8日）。与此同时，已经发布了FixIT解决方案。

该公司确实建议受影响的人（阅读：几乎每个人）都考虑一些缓解因素和解决方法。 对于普通用户而言，最简单的（因此可能是最重要的）用户是，不要将具有管理员权限的帐户用于日常工作。

微软还指出，攻击者无法“强迫”受害者访问恶意站点。 取而代之的是，受害者可能会被诱骗到网络钓鱼消息。 与往常一样，偏执规则适用：请勿单击任何异常或意外链接，即使来自您信任的人也是如此。