微软提前发布漏洞补丁MS10-018 建议IE用户都安装

微软官网表示将在明日发布紧急补丁MS10-018，修复三周前公布的IE6和IE7中的浏览器远程代码执行漏洞以及其他八个漏洞。本月初微软在知识库文章KB981374中证实了此漏洞的存在，并且表示已经有黑客用来攻击用户。虽然最新版本的IE8浏览器不受这个安全漏洞的影响，但微软并不打算等到4月13日的补丁日来发布。

不久前知名杀毒软件厂商AVG表示，利用IE此漏洞进行的攻击行为已经开始泛滥，并被用来在受攻击计算机上安装虚假杀毒软件或是木马病毒。

MS10-018将修复Web浏览器所使用的一个无效指针引用。这一额外的IE安全更新还将修复IE中的其它九个漏洞，这些漏洞均为第三方秘密提交的报告，而且微软目前还没有发现有利用这些漏洞进行的攻击行为。

这个安全漏洞涉及到iepeers.dll动态链接库中一个安全漏洞，与处理经过“setAttribute()”函数的非法值有关。这些安全漏洞创造了向受害人PC放置恶意软件的途径，如果受害人使用有安全漏洞的IE浏览器访问陷阱网站就会受到攻击。在某些条件下，无效指针会在对象删除之后被访问。通过使用特定的攻击方式，这一漏洞会被利用来执行远程代码。攻击代码已被发布到Metaspolit框架上，促进了紧急补丁的发布。

Microsoft Windows 2000服务包4上的IE6服务包1，以及IE6和IE7都会受到影响，IE8不受影响。但是明日发布的补丁MS10-022则涉及Windows 7和IE8用户，因为该补丁中所修复的多个高危漏洞会涉及到IE8，建议所有IE版本用户都安装该补丁。

微软在昨日的公告中称：“我们建议用户在更新发布之后尽快安装。”

在先前的公告中，微软称，攻击者会使用鱼叉式网络钓鱼攻击技术来引诱用户访问恶意网站，从而将恶意软件下载到受害者的机器上。之后，攻击者会拥有和本地用户相同的用户权限。目前微软推荐使用可替代的方式，包括将IE中的因特网区域的安全级别调高，禁用脚本和Active X控件。

查看KB981374：http://www.microsoft.com/technet/security/advisory/981374.mspx