微软确认高危漏洞

织女

对于这个可使成千上万的IE浏览器用户受到黑客威胁的高危漏洞，微软计划在网站公布一个提前的安全咨询方案。这份安全建议将在这里公布。这个代码执行漏洞是由丹麦哥本哈根的Secunia网站公布的。

Secunia 在安全公告中描述此漏洞是由应用于单选按钮控制的"createTextRange()"进程呼叫进行中的错误导致的。“这个错误可被操作例如恶意网站在某种程度上导致内存溢出一样，允许程序流程重定向到堆中”。警告当目标用户访问恶意站点时，成功操作会允许任意代码执行。现在微软正在紧急开发补丁。

在Secunia的安全公告中这个漏洞已经被证实在打过补丁的装有Internet Explorer 6.0的系统和Microsoft Windows XP SP2中存在。在Internet Explorer 7 Beta 2 Preview中也被证实存在。其他版本也可能会受到影响。MSRC (微软安全响应中心) 的官方博客上安慰使用新近刚在Mix'06大会上发布的IE7 Beta 2 预览版用户说此版本不受影响，不过他们也发表了一份免责声明。可以到微软下载这个预览版本。

Lennart Wistrand，一位MSRC的技术经理建议用户关闭活动脚本功能以防止可能的攻击。Wistrand补充到，使用支持版本的Outlook或Outlook Express的用户不会受到影响，因为恶意脚本不会在邮件中起作用。

最新的警告在发现漏洞24小时后发布，此漏洞还有可能引起拒绝服务攻击。

<