安全更新真多 Win7公布十三个漏洞补丁

    微软在更新日发布了破纪录的13个安全快报，共修补34个弱点，其中包括Windows 7第一个重大更新，和若干涉及服务器讯息区（SMB）和网际网路资讯服务（IIS）的零时差瑕疵修补。

    最严重的三项SMB瑕疵，最早在上月曝光。攻击者只要对电脑发出一个特制的SMB封包，即可自远端控制电脑。微软表示，其中一个漏洞的攻击码已在网路上散布。这次更新有两项重要的修补包含Windows 7，这些弱点可能让造访过恶意网站的电脑，受到远端控制。 其中一项属于IE浏览器更新，另一项属于.Net Framework和Silverlight。Windows 7正式上市日期为10月22日，但若干大量授权的企业，早自今年夏天即开始使用。

    10月更新日的其他重要修补，包括Windows Media Runtime的一项弱点。若使用者开启一个恶意媒体档、从某个网站或应用软体接收恶意的串流内容，或利用Windows Media Player 6.4播放特制的ASF档，便有可能遭受攻击。

    另一个重大漏洞在Windows GDI+（绘图装置介面），若使用者浏览一个恶意影像档或恶意网页，攻击者便可借此控制受害电脑。McAfee Labs安全研究与公关主人Dave Marcus说：“微软已经一再修补Windows绘图装置介面相关的问题，而该元件的弱点过去一直被广范利用。我们可以预见安全研究员对今天的修补方案进行逆向工程，此举极可能导致更多攻击码出现。”

    这次更新最值得警觉的是SMB瑕疵，nCircle安全作业主任Andrew Storms表示，冲击最大的是一项针对Windows Media Runtime，且应用有限的speech codec错误。他说：“这是一个典型的档案语法问题，类似那些让攻击者制作路过式攻击，感染影片观众的弱点。”

    另一方面，基于预设的防火墙条件，这个严重的SMB弱点相对较难被利用，但IIS弱点则很容易。列为重要等级的快报有五个，分别针对IIS、Windows CryptoAPI、Windows Indexing Service、Windows Kernel和Local Security Authority Subsystem Service等软体的漏洞。这次更新也移除了显示假恶意软体警示，然后要求使用者为假防毒软件付费的Win/FakeScanti木马。