IE浏览器的HTML渲染引擎存在0day漏洞

近日，法国安全公司Vupen对外透露，他们发现了IE浏览器的HTML渲染引擎中存在的一个0day漏洞，Windows XP、Vista和Windows 7系统上运行的IE8，以及在XP上运行的IE6、IE7存在缺陷，IE9浏览器不受此漏洞影响。如果被利用，攻击者可以远程绕过打过完整补丁的Windows 7和Vista系统的安全防护措施，在系统上运行恶意代码。微软可信赖计算集团主管戴夫·福斯特洛姆（Dave Forstrom）在一份声明中称，“微软正在对相关的缺陷报告进行调查。我们尚没有接到利用该缺陷的攻击发生或用户受到影响的报告。”

就在微软仍在调查的时候，Vupen公开了利用该漏洞绕开系统安全防护措施的攻击代码，微软也于昨日发布了安全公告（KB2488013），警告用户避免受到此漏洞的影响。

与最近披露的其他IE缺陷不同的是，攻击者能够利用该漏洞和相关技术绕过两个Windows安全功能：DEP（数据执行保护）和ASLR（地址空间布局随机化），这个问题是由“mshtml.dll”动态链接库文件中的一个“use-after-free”错误引起的。当处理一个包含各种“@import”规则的参考CSS（层叠样式表）文件的网页的时候，这个错误允许远程攻击者通过一个特殊制作的网页执行任意代码。

数据执行保护（DEP）和地址空间布局随机化（ASLR）这两个功能是专门用来阻止恶意代码运行的。

微软当前正在开发补丁以便能尽快修复该漏洞，在补丁未完成前微软建议用户开启防火墙，及时升级软件，并且在机器上安装杀毒软件。由于微软每两个月发布一次安全补丁，上周刚刚发布过IE补丁，因此可能将于明年2月份修正该缺陷。