微软安全新闻聚焦 - 双周刊第六期

微软于北京时间10月12日清晨发布8个安全补丁，其中2个最高级别为严重等级，6个为重要等级，共计修复 Windows、IE、.NET Framework 等产品中的23个安全漏洞。其中 MS11-078 和 MS11-081 为严重等级，推荐用户优先部署。MS11-078 修复了 .NET Framework 和 Silverlight 中一项允许远程代码执行的漏洞；MS11-081 通过改善对象存储方式修复了 IE 浏览器中的8个秘密报告的安全漏洞，最严重的漏洞可能在用户使用 IE 查看特制网页时允许远程执行代码。本月微软还发布了最新安全研究报告 (SIRv11)，特别引入了对“零日漏洞”及与其相关的恶意软件威胁的深入分析。

阅读更多信息：Microsoft Security Intelligence Report

微软发布安全通报应对 SSL 漏洞

2011 年 9 月 26 日

针对9月23日公布的 SSL 3.0和 TSL 1.0中的信息泄露漏洞（详见 CVE-2011-3389），微软于9月26日发布安全通报2588513。通报指出，此漏洞影响的是协议本身，并不特定于 Windows 操作系统，它允许对经过加密的 SSL/TLS 通信进行解密，主要影响 HTTPS 通信。攻击者可能以浏览器为主要攻击目标，使得所有通过 HTTPS 或 HTTP/HTTPS 混合内容提供服务的 Web 通信均受影响。目前尚未获悉在其它协议或组件中利用此漏洞的方式，也尚未发现试图利用此漏洞展开的攻击。考虑到成功利用此漏洞实现攻击的苛刻条件，此漏洞不会给用户带来较高风险。TLS 1.1、TLS 1.2 和不使用 CBC 模式的所有密码套件都不受影响。请相关用户及时参考其中的建议部署缓解措施。

阅读更多信息：Is SSL broken?

微软发布 SIRv11 ，分析漏洞利用情况

2011 年 10 月 13 日

微软近日发布了第11期安全研究报告（SIRv11），深入透视了2011年上半年恶意软件、漏洞利用、安全威胁分布等方面的具体情况，并为用户提供了合理应对安全风险的建议。值得一提的是，SIRv11 全新引入了关于常见漏洞与零日漏洞的分析。微软通过分析自身恶意软件移除工具（MSRT）、Forefront 和 MSE 等产品的清除结果获取的数据，得到了如下的结论：在这半年中，由零日漏洞引入的病毒少于1%，占漏洞利用总数的6%；而超过90%的恶意软件试图利用揭露了一年以上的老漏洞。此外，数据分析还表明，Java、操作系统和 HTML/JavaScript 中的漏洞利用最为猖獗。用户可下载报告阅读详细分析结果。

阅读更多信息：微软安全情报第11卷可供下载