微软修补Windows核心漏洞Jasbug：整整花一年功夫修补的重大漏洞

微软释出MS15-011及MS15-014两个安全更新以修补Windows中可能让骇客远端绑架Windows系统的重大（Critical）漏洞。

这次所修补的CVE-2015-0008重大漏洞是由安全研究公司Jas Advisor所发现，因而也被称为Jasbug。Jas Global Advisor及simMachines受ICANN委托研究新型通用顶级域名（New gTLD）相关技术时发现了这项漏洞。这个漏洞由于涉及到Windows核心元件的重新设计，因此让微软整整花了一年时间才得以释出更新。

该漏洞影响所有加入网域的Windows用户端及服务器，即公司Active Directory的成员，让骇客得以远端执行攻击，并取得目标装置的管理员层级权限。Windows使用者如果透过饭店和咖啡店等公共网络连上公司网络，将会特别危险。

微软同时释出MS15-011及MS15-014两个安全更新以强化群组政策，解决网域网络中可能被用以远端执行程式码的网络存取漏洞。

微软解释，远端程式码执行漏洞存在于群组政策（Group Policy）在连结网域时接收与施行政策资料的过程当中。该漏洞导致群组无法取得有效的安全政策，执行可能较不安全的预设群组政策，进而可能被用来关闭网域执行的SMB签章政策。

受影响操作系统几乎遍及所有桌面及服务器Windows，包括Windows Server 2003、Windows Server 2008/2008 R2、Windows Server 2012/ 2012 R2、Windows Vista、Windows 7、Windows 8/8.1/RT/RT 8.1。

这项漏洞于2014年一月即已通报微软，当时微软立即进行了解。何以微软必须花一年时间才得以修补？JAS Global Advisor说明指出，不像Heartbleed、Shellshock、Gotofail和POODLE等漏洞，Jasbug是一个设计上的问题，而非实作（implementation）上的问题。微软必须重新设计操作系统的核心元件，并加入多项安全功能才得以修补，而且还要注意回溯相容与支援组态问题。微软在这当中还必须进行很广泛的回归测试以确保最小的副作用。这个漏洞的情况就算不是空前，也是十分罕见的。

微软建议IT管理员应立即检视微软文件并进行修正，包括Active Directory用户端及服务器设定新功能。