微軟 5 月發布 10 個安全補丁

2013年5月15日

微軟于 5 月 15 日清晨發布 10 個安全補丁，其中 2 個為最高級別嚴重等級， 8 個為重要等級，共修復 Internet Explorer 、 Microsoft Windows 、 Microsoft Office 、 Server and Tools 和 .NET Framework 中的 33 個安全漏洞。請特別優先部署嚴重等級補丁 MS13-037 、 MS13-038 和 MS13-039 。 MS13-037 解決 Internet Explorer 中的 11 個秘密報告的漏洞。最嚴重的漏洞可能在用戶使用 Internet Explorer 查看特制網頁時允許遠程執行代碼。 MS13-038 永久性地解決了在 Microsoft 安全通報 2847140 中描述的 Internet Explorer 8 中的漏洞。 MS13-039 解決了 Windows 中的一個安全漏洞。如果攻擊者向受影響的 Windows 服務器或客戶端發送特制 HTTP 數據包，該漏洞可能允許拒絕服務。此外，微軟還發布了 安全通報 2820197 和 安全通報 2846338 。

軟件開發，注意“安全”

2013 年5 月 14 日

微軟軟件安全開發生命周期 (SDL) 已經提出了近十年的時間了，在這過去的十年中，互聯網經歷了翻天覆地的變化。但是我們也可以看到，互聯網犯罪也在迅猛增長，網絡安全事故也是層出不窮。微軟調查發現只有 37% 的企業在軟件開發中將軟件的安全性納入需求之中，這樣的現狀不得不讓人擔憂。其中阻礙企業使用安全開發流程的原因一個是缺乏管理上的認可。不過 ISO 發布了 ISO/IEC 27034-1 標準，為軟件安全開發制定了標準，因此安全開發或許將會成為一種強制措施。其次，開發人員缺乏相應的培訓也是阻礙因素之一。微軟在 SDL 網站 上提供了大量的免費的安全開發工具和指導文檔，可以供開發人員學習。另外一個原因是企業在資金開銷方面的顧慮，但是 Aberdeen Group 的研究 表明安全的代碼能夠為企業創造更多的收益。因此在軟件開發過程中，無論是使用者還是開發者都應時刻注意“安全”。

微軟發布安全通報 2847140

2013 年 5 月3日

微軟在 5 月 3 日發布了 安全通報 2847140 以解決在 Internet Explorer 8 中的一個安全漏洞。當攻擊者誘使用戶使用 IE 8 瀏覽一些惡意站點時，該漏洞可能觸發遠程代碼執行。攻擊者通常通過郵件或即時消息傳播這些惡意鏈接。 Internet Explorer 6 、 7 、 9 和 10 并不受該漏洞的影響，因此通過 升級 IE 到版本 9 或者 10 均可避免該漏洞的影響。微軟正在積極地制定解決方案，于此期間，微軟希望受影響的用戶采取以下措施緩解該漏洞的影響： 1. 將 IE 瀏覽器中 Internet 和本地局域網的安全級別調整至“高”，以阻止 Active X 控件和動態腳本。 2. 配置 IE 瀏覽器，使其在 Internet 和本地局域網中，在運行動態腳本前提示用戶，或直接禁止動態腳本。以上兩個防護措施可能都會影響到用戶正常訪問一些常用網站，因此建議用戶將常用的可信的站點添加到 IE 的受信任站點中。