微軟才修補漏洞　攻擊驗證程式紛出爐
文/陳曉莉 (編譯) 2006-06-15


微軟才剛發表12個安全通報，修補了21個漏洞，隔天馬上就有不少針對這些漏洞的攻擊驗證程式出爐。



微軟甫於周二（6/13）發表12個安全通報，修補了21個漏洞，但隔天馬上就有不少針對這些漏洞的攻擊驗證程式出爐。

根據SANS網路風暴中心的統計，目前至少有五個攻擊程式針對微軟才修補的漏洞而來，例如MS06-027安全通報所修補的Word漏洞。

此一Word漏洞早在今年5月就被用來針定特定組織進行攻擊，但一家位於邁阿密的滲透測試公司 Immunity則公開發表了該漏洞的概念性驗證程式，Immunity在今年6月初推出的CANVAS產品中就含有攻擊Word漏洞的模組。

CANVAS是一個含有數百個攻擊程式的平台，可讓全球的滲透測試人員與安全專家用來自動攻擊系統。

在微軟本月定期更新之後，Immunity旋即發表了針對微軟MS06-024及MS06-025安全通報漏洞的概念性驗證程式與CANVAS模組。這兩個安全通報分別修補了Windows Media Player及視窗路徑與自動存取服務（RRAS）漏洞，皆被列為最高等級的重大（critical）更新。

另有一個稱作Milw0rm的網站也提供針對MS06-030安全通報漏洞而發表的兩個概念性驗證程式，該安全通報是修補微軟部署SMB（Server Message Block）協定的漏洞，該協定在視窗中主要用來分享檔案、印表機與序列埠，以及用來進行電腦間的相互溝通。

業者是否應該發表漏洞攻擊的概念性驗證程式一直是種爭議，因為微軟說駭客可將這些概念性驗證程式修改成為惡意程式，危及該公司用戶的安全；但研究人員則認為，企業IT部門可利用這些概念性驗證程式進行漏洞測試。（編譯/陳曉莉）

http://www.ithome.com.tw/itadm/article.php?c=37825

CRETIX Security - http://www.hacker.org.tw

原創作者: 陳曉莉 (編譯)
文章來源: ICST