微软例外修补IE、Windows Defender两重大漏洞，IE零时差漏洞已有攻击程式

微软周一在每月更新之外，针对Internet Explorer (IE) 及Windows Defender发布修补程式，以分别修补出现在Windows 7到Windows 10上的远端程式码执行（Remote Code Execution，RCE）及阻断服务（Denial of Service，DoS）漏洞，其中RCE零时差漏洞已经有攻击程式，呼吁用户尽速安装。

IE上的零时差攻击漏洞编号CVE-2019-1367，发生在IE脚本引擎处理内存物件的过程中，会造成内存毁损，使攻击者可在现有使用者电脑上执行任意程式码。成功开采本漏洞的骇客，可取得和现有使用者相同权限，如果后者具有管理员身份，则攻击者将能接管整台机器，进而安装程式、修改／变更／删除资料，或是新增完整权限的用户账号。

在Web攻击情境中，攻击者可能发送邮件，诱使IE用户点选其中URL以造访恶意网站对用户发动攻击。

受影响产品众多，包括微软已不支援的Windows7、Windows 8.1、Windows 10 1703到1809版本、及Server 2012、2016及2019上的IE11、Server 2012上的IE10、以及Server 2008上的IE9。除了少数情形外，本漏洞在大部分平台上都属于重大风险漏洞，微软已经释出漏洞修补程式，也呼吁用户尽速安装。但Windows 10 1903版上的IE 11修补程式，则只能由Microsoft Update Catalog手动安装。

ZDNet报导已有针对CVE-2019-1367的攻击程式出现，是Google 威胁分析小组研究人员Clément Lecigne发现并通报微软。这个小组本月也揭露了能被用来监视维吾尔人的iOS零时差漏洞。至于两者是否相关目前不得而知。

第二项编号CVE-2019-1255的漏洞，则和Windows内建安全软件Microsoft Defender（原名Windows Defender）中的恶意程式防护引擎（Malware Protection Engine）处理档案不当有关。攻击者开采本漏洞进而阻止合法账号执行合法的系统二进制档。所幸攻击者必须要能在受害机器上执行程式，才能开采这个DoS漏洞，因此属于安全风险较低的“重要”漏洞。

本漏洞是由F-Secure的Charalampos Billinis及腾讯玄武实验室的Wenxu Wu 发现，影响的是恶意程式防护引擎1.1.16300.1版本。受到波及的受影响产品为微软桌机安全软件产品，包括Windows 7、8.1、Windows 10各版本，Server 2008、2012上的Windows Defender，以及Microsoft System Center Endpoint Protection、Microsoft Security Essentials。微软已经发布1.1.16400.2更新版本引擎，会在48小时内自动部署到用户软件上，并表示尚未发现有攻击行为。