浏览器漏洞及office漏洞主导“补丁日”-k8凯发天生赢家

【techtarget中国原创】上个月微软补丁星期二的公告数量有所减少，而2016年8月补丁日继续这一趋势，总共只有9个公告，其中5个被评为严重。

本月关键补丁解决了微软的ie浏览器和microsoft edge以及微软graphics component和office中的严重漏洞，还修复了microsoft pdf library的漏洞，该漏洞“在用户在线查看特制pdf内容或打开特制pdf文件时可允许远程代码执行”。

thrive networks公司技术副总裁michael gray表示：“按理说，微软可能会尽可能保持简单，以免掩盖windows 10年度更新的势头。”

“根据新补丁来看，目前有针对ie和edge的典型远程代码执行浏览器的漏洞利用，”gray称，“在这两种情况下，使用ie浏览器的用户需要拥有管理员权限。而在商业环境中，我强烈建议尽可能避免最终用户的管理权限，这样做的好处绝对超过它带来的便利性。其他关键更新与图形库以及pdf阅读器有关，这两者都是在windows 8中发布，这两个漏洞似乎为低风险。”

tripware公司的漏洞和披露研究团队安全研究人员craig young称：“windows用户应该尽快更新浏览器、图形组件以及内核模式驱动程序，因为这些漏洞很容易被利用。”

“总的来说，这是一个常规的补丁星期二，这通常会让windows桌面管理员忙一阵，”qualys公司漏洞实验室主管amol sarwate称，“windows 10的用户使用microsoft edge作为默认浏览器时，应该注意windows pdf library漏洞，这可能允许攻击者通过让用户打开恶意pdf而控制用户设备。”

sarwate指出ms16-101公告主要是针对windows网络，因为它涉及的漏洞允许在微软的netlogon或kerberos进行身份验证时特权升级。“当kerberos不正确地处理密码更改请求并回落到ntlm身份验证作为默认身份验证协议时就会触发kerberos问题，这将允许攻击者绕过kerberos身份验证，”sarwate写道，“netlogon问题发生在当windows netlogon不正确地建立安全通信通道到域控制器时。”

其他重要公告

尽管这个补丁星期二似乎没有太多更新，但其中也有一些让人意想不到的更新。gray提到ms16-103安全公告，这是对universal outlook的更新，universal outlook是特殊版本的outlook，旨在平板模式下运行。我们很少看到有人使用这种outlook，唯一使用它的人也只是出于偶然。考虑到连这种版本都有漏洞，而常规版本却没有任何更新，gray估计微软是为universal应用使用了不同的代码。

young在本次补丁星期二中也发现了一些值得注意的事情：“在edge和ie安全公告之外，还有一个有趣的信息披露漏洞，该漏洞让攻击者可更好地查看受害者pc。”这个漏洞被称为cve-2016-3329，让攻击者控制的内容来确定目标计算机是否存在特定文件。

“虽然这肯定没有代码执行漏洞或任意文件读取问题那么糟糕，但它可让攻击者可指纹识别受害者，并可发现目标设备中易受攻击而通常没有暴露给web浏览器的的软件，”young表示，“这很有帮助，因为很多时候攻击者可通过利用媒体播放器或文件浏览器来更容易地获取有效访问，而不是利用高度隔离的浏览器沙箱。聪明的攻击者随后会创建有效的基于浏览器的攻击，以在浏览器的沙箱外实现代码执行，但不需要应付沙箱。”

windows 10年度更新

由于本月的补丁星期二数量不多，系统管理员可稍微轻松一些，让他们可更好地应付windows 10年度更新。上周的操作系统升级仍然在带来影响，系统锁定和减慢等问题屡见不鲜，gray认为这些问题似乎是因为软件与最新windows更新不兼容。

“我们看到去年windows 10更新过程只需要卸载某些不兼容的软件，也许微软当时试图更好地对待windows 10和安全软件，但可能最后会带来影响，”gray称，“如果你使用搭配xbox使用的游戏pc，这肯定是很棒的更新。但对于任何企业用户，还是应该尽可能地先测试该更新。”