微软苹果再爆安全漏洞

发表于:2009-06-02来源:作者:点击数: 标签:苹果微软漏洞
这周正好是我国的传统节日端午节,许多朋友都趁这难得的三天假期出外旅游,不过IT行业向来没有放假的传统,因此本周的 安全 圈子也有不少值得关注的新闻。首先仍是需要时刻关注的漏洞攻击方向,除了老面孔微软和的产品外,本周移动设备厂商RIM也一同上榜。作
这周正好是我国的传统节日端午节,许多朋友都趁这难得的三天假期出外旅游,不过IT行业向来没有放假的传统,因此本周的安全圈子也有不少值得关注的新闻。首先仍是需要时刻关注的漏洞攻击方向,除了老面孔微软和的产品外,本周移动设备厂商RIM也一同上榜。作为推动软件安全的重要一步,微软在本周发布了免费的软件安全模板。针对虚拟化和云应用市场的快速发展,众多反病毒厂商纷纷在近期推出了自己的产品,AMTSO本周新推出的新测试标准将对该领域的应用产生积极影响。在本期回顾的最后,笔者仍为朋友们专心挑选了两个值得一读的推荐阅读文章。

  本周(090525至090531)安全要闻回顾

  本周的的信息安全威胁等级为中,主要的威胁类型为小规模的微软漏洞攻击行为,请朋友们留意各软件厂商发布的安全更新,并及时更新防火墙和反病毒软件等安全工具。

  漏洞攻击:微软苹果再爆安全漏洞;黑莓也有PDF漏洞;关注指数:高

  继前两周微软Web服务器IIS中发现WebDAV访问控制的严重漏洞后,本周微软另外一个产品DirectX中再次发现严重安全漏洞。该漏洞存在于广泛安装在Windows系统上DirectX产品的DirectShow组件,由于DirectShow在处理QuickTime媒体文件时存在缺陷,黑客可通过向用户发送特定格式内容的QuickTime媒体文件攻击该漏洞,如果用户不小心开启了这样的QuickTime攻击文件,将可能执行并感染黑客预先放置的恶意软件。

  尽管这个DirectShow漏洞并不是传统意义上的浏览器漏洞,但理论上说使用DirectShow作为媒体播放插件的浏览器都有可能会被该漏洞所成功攻击。根据微软的进一步调查,该漏洞将会影响较早期的Windows2000SP4、Windows XP和Windows2003操作系统,而较新的WindowsVista和2008将不受影响,此外,微软尚未确认什么时候会推出针对该漏洞的安全更新,朋友们需要密切关注微软进一步的通知,并开启系统的自动更新功能。不过微软也在官方站点上提供了防御该漏洞的临时措施,需要的朋友可到以下网址了解下:

  http://www.microsoft.com/technet/security/advisory/971778.mspx

  的操作系统MacOSX本周也被爆出存在安全漏洞。根据安全厂商Intego的报告,MacOSX系统在处理经过特定编码的Javat时,会允许攻击者跳过系统的安全控制远程执行代码。该漏洞已存在超过6个月,但一直没有就此发表看法或推出安全更新。该漏洞要处理起来并不困难,用户只需要在浏览器中禁用掉t的运行即可。

  除了微软和这样的老面孔外,本周的漏洞攻击领域还新上榜了一家移动计算市场的知名厂商RIM。本周早些时候RIM发布安全公告称,使用RIM操作系统的BlackBerry黑莓手机及在x86平台上配套的BlackBerryEnterpriseServer都存在PDF文件处理安全漏洞,如果该漏洞被触发,在BlackBerry手机上会导致手机内存溢出失去响应等问题,而在x86平台的表现则更为严重,将有可能导致执行黑客预置代码等严重后果。目前互联网上尚未听说有针对该漏洞的大规模攻击活动,厂商RIM没有对上述几个产品提供安全更新,朋友们如果正在使用上述产品,建议不要开启来历不明的PDF文件,或通过设置禁用对PDF文档的支持。

  软件安全:微软发布免费软件安全模板;关注指数:中

  作为对去年11月份推行软件安全活动的后续行动,微软本周发布了一个免费的软件安全模板,这个名为SDL模板的工具除了能够集成到微软自家的VisualStudio外,还能用到第三方的开发环境中,从而更好的帮助开发者在软件产品的开发阶段实施软件安全战略。目前微软最新的软件安全开发生命周期架构(SecurityDevelopmentLifecycle,简称SDL)的最新版本为4.1,去年年底微软曾发布了SDL优化体系和SDL威胁建模工具(TMT),现在微软又再发表SDL模板这一免费的工具,显然对微软推行Windows平台下的软件安全体系有不小的积极作用。当前软件漏洞已经成为用户信息安全的最大威胁之一,而软件安全领域经过这两年的发展,也逐渐开始引起各大安全厂商的注意,不过现在软件安全市场内成熟的产品和服务不多,最终用户对软件安全的认知程度也不是很高,这种现状值得国内安全厂商关注。

  反病毒:新标准支持云应用反病毒的测试;关注指数:中

  云是这几年IT圈子里很热的话题,各种云相关的解决方案如雨后春笋般出现,安全业界自然也不会落后,在前段时间旧金山举行的RSA安全会议上,许多厂商云概念的安全产品。在这样纷繁复杂的安全产品中,用户应该如何选择和评估一套适合自己情况的云安全产品?基于此考虑,由多个知名反病毒厂商组成的反恶意软件测试标准组织(AMTSO)本周推出新的《云安全产品测试最佳实践》,该份标准旨在帮助用户更好的测试各种带有云概念的安全产品,并涵盖了虚拟化、数据泄露、采样和比较等方面的指导性意见。从技术角度上来说,这份标准不能算是一份完全适用于最终用户的测试标准,因为它并没有提供各项测试的操作流程和标准的测试指标,只能算是指导安全厂商、第三方产品测评机构如何进行测试的指导性标准。不过这份标准在方向的设置上相当全面,安全厂商如果要涉足云安全产品的开发,可以将其作为架构功能设计的主要参考资料。

  推荐阅读:

  1) McAfee的网络犯罪教育网站;推荐指数:高

  网络犯罪正日益成为现代网络社会挥之不去的噩梦,然而绝大多数用户对网络犯罪的概念仍十分模糊,更无从谈起如何保护自己不受网络犯罪的侵害。安全厂商McAfee本周推出一个新的网络犯罪教育网站,并制作了一个名为H*Commerce的系列教育视频,推荐朋友们都了解一下。该网站地址如下:

  http://www.stophcommerce.com/

  2) 技术分析:如何防止恶意的内部攻击者?推荐指数:高

  俗话说堡垒最容易从内部攻破,企业在建设信息安全体系的时候会面临同样的问题,无论企业在安全产品花费多少投资,一个心怀不满的员工总有机会给企业内部网络造成严重的损失。Darkreading.com本周新推出的报告《如何防止恶意的内部攻击者》,主要关注如何保护企业的敏感数据不受内部人员的威胁,推荐有兴趣的朋友阅读一下。报告的下载地址如下:

  http://www.darkreading.com/insiderthreat/security/attacks/showArticle.jhtml?articleID=217600658&subSection=Attacks/breaches

原文转自:http://www.ltesting.net