微软证实IE的HTML渲染引擎中存在0day漏洞顺水鱼财经

微软昨日发布安全公告（KB2488013），证实日前曝光的一个IE漏洞可能会导致远程代码攻击。这是一家法国安全公司Vupen在本月初曝光的oday漏洞，微软随后开展了调查，就在Vupen公开了攻击代码的同时，微软也发布了安全公告，警告用户避免受到此漏洞的影响。微软当前正在开发补丁以便能尽快修复该漏洞，在补丁未完成前微软建议用户开启防火墙，及时升级软件，并且在机器上安装杀毒软件。该漏洞存在于IE的 HTML渲染引擎中，远程攻击者可以利用该漏洞绕过Windows 7和Vista等系统的DEP（数据执行保护）和ASLR（地址空间布局随机化），进而执行恶意代码。

这个问题是由“mshtml.dll”动态链接库文件中的一个“use-after-free”错误引起的。当处理一个包含各种“@import”规则的参考CSS（层叠样式表）文件的网页的时候，这个错误允许远程攻击者通过一个特殊制作的网页执行任意代码。

微软公布了受影响的软件：

—Windows XP SP3、Windows Server 2003 SP2平台上的IE6；

—Windows XP SP3、Windows Server 2003 SP2、Vista SP1和SP2、Windows Server 2008和SP2平台上的IE7；

—Windows XP SP3、Windows Server 2003 SP2、Vista SP1和SP2、Windows Server 2008和SP2、Windows 7、Windows Server 2008 R2平台上的IE8。

【免责声明】本文仅代表作者本人观点，与和讯网无关。和讯网站对文中陈述、观点判断保持中立，不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考，并请自行承担全部责任。