Biweekly Spotlights
==== 2011.10. 11 – 2011. 10. 24 第 6 期 ====
2011 年 10 月 12 日 |
微软于北京时间10月12日清晨发布8个安全补丁,其中2个最高级别为严重等级,6个为重要等级,共计修复 Windows、IE、.NET Framework 等产品中的23个安全漏洞。其中 MS11-078 和 MS11-081 为严重等级,推荐用户优先部署。MS11-078 修复了 .NET Framework 和 Silverlight 中一项允许远程代码执行的漏洞;MS11-081 通过改善对象存储方式修复了 IE 浏览器中的8个秘密报告的安全漏洞,最严重的漏洞可能在用户使用 IE 查看特制网页时允许远程执行代码。本月微软还发布了最新安全研究报告 (SIRv11),特别引入了对“零日漏洞”及与其相关的恶意软件威胁的深入分析。
阅读更多信息:Microsoft Security Intelligence Report
2011 年 9 月 26 日 |
针对9月23日公布的 SSL 3.0和 TSL 1.0中的信息泄露漏洞(详见 CVE-2011-3389),微软于9月26日发布安全通报2588513。通报指出,此漏洞影响的是协议本身,并不特定于 Windows 操作系统,它允许对经过加密的 SSL/TLS 通信进行解密,主要影响 HTTPS 通信。攻击者可能以浏览器为主要攻击目标,使得所有通过 HTTPS 或 HTTP/HTTPS 混合内容提供服务的 Web 通信均受影响。目前尚未获悉在其它协议或组件中利用此漏洞的方式,也尚未发现试图利用此漏洞展开的攻击。考虑到成功利用此漏洞实现攻击的苛刻条件,此漏洞不会给用户带来较高风险。TLS 1.1、TLS 1.2 和不使用 CBC 模式的所有密码套件都不受影响。请相关用户及时参考其中的建议部署缓解措施。 阅读更多信息:Is SSL broken? |
2011 年 10 月 13 日 |
微软近日发布了第11期安全研究报告(SIRv11),深入透视了2011年上半年恶意软件、漏洞利用、安全威胁分布等方面的具体情况,并为用户提供了合理应对安全风险的建议。值得一提的是,SIRv11 全新引入了关于常见漏洞与零日漏洞的分析。微软通过分析自身恶意软件移除工具(MSRT)、Forefront 和 MSE 等产品的清除结果获取的数据,得到了如下的结论:在这半年中,由零日漏洞引入的病毒少于1%,占漏洞利用总数的6%;而超过90%的恶意软件试图利用揭露了一年以上的老漏洞。此外,数据分析还表明,Java、操作系统和 HTML/JavaScript 中的漏洞利用最为猖獗。用户可下载报告阅读详细分析结果。 阅读更多信息:微软安全情报第11卷可供下载 |
|
感谢您的关注!
下期双周刊发布时间:11月8日。敬请期待!
微软大中华区安全团队
Microsoft GCR Security Team