GMTC全球大前端技术大会(北京站)门票9折特惠截至本周五,点击立减¥480 了解详情
写点什么

微软 Edge 浏览器迎来首个安全更新

2015 年 9 月 17 日

今年 5 月份,微软公布了专门用于Windows 10 系统的全新Edge 浏览器。该浏览器利用了操作系统的Passport、Smartscreen 以及沙盒等业内领先的技术来提升其安全性。通过这些举措,微软意图用超安全的Edge 浏览器来替代传统的IE 浏览器,提升浏览器的安全特性。然而,Edge 浏览器近日就迎来了首个安全更新

该安全更新包含在等级为严重的安全公告 MS15-095 内。其中包含了 4 个针对 Windows 客户端为严重安全漏洞的 CVE-2015-2485 CVE-2015-2486 CVE-2015-2494 CVE-2015-2542 等内存损坏漏洞。这些漏洞使得用户在使用 Edge 查看经过特殊设计的网页时可能出现允许远程执行代码的情况。 成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。由此,攻击者就可以轻松读取或者修改用户的文件,造成严重影响。

在同时发布的安全更新中, MS15-094 表明了 IE 浏览器也存在相同的漏洞,而且漏洞数量为 12 个。漏洞管理与合规性解决方案 SaaS 服务的提供商 Qualys 的首席技术官 Wolfgang Kandek 指出,这些同样存在的漏洞说明 Edge 浏览器至少使用了部分 IE 浏览器的代码。但是,Edge 浏览器漏洞数量少也表明微软工程师在构建更加安全的浏览器时所付出的努力没有白费。同时,它也说明编写一份没有错误、免于攻击的软件是多么的困难。

因为 Windows 10 还没有广泛用于企业用户,查看 Edge 公告或许不在系统管理员的优先待办事项中。然而,Qualys 的工程经理 Amol Sarwate 表示,系统管理员还是应该关注一下包含 Office 2007 和 2010 中的若干关键性漏洞的 MS15-097 MS15-099 公告。Sarwate 同时表示,已经有了很多利用这些漏洞的攻击。其中的远程代码执行漏洞意味着,用户只需要打开一个内嵌恶意代码的 Excel 或者 Word 文档,这些代码就可以在不知不觉间后台运行,攻击本地计算机。

此外,Sarwate 建议,运行微软 Exchange 和 Active Directory 的企业也应该好好看一下 MS15-096 MS15-103 公告。其中,Exachange 的漏洞使得恶意攻击者可以通过 Outlook Web Access(OWA)客户端来获取用户文件的访问权;Active Directory 的漏洞使得软件更容易受到拒绝服务(DDoS)攻击。对于商业用户而言,Active Directory 是一个非常关键的应用。它会保留所有用户的账号,并且一般不会连接到互联网。但是,管理员仍需安装相应的补丁,以防万一。Sarwate 提出,如果一个黑客进入了企业的内部网络,那么他要做的第一件事或许就是攻击 Active Directory。

总的来说,今年微软已经发布了 105 个安全公告。Qualys 估计,该数字在年底会增加到 145。相比于 2014 年的 106 个和 2011 年的 100 个,今年的安全公告数量明显增加。但是,Kandek 表示,这并不意味这微软的软件变得更加脆弱了。来自第三方研究人员和攻击者所发现的漏洞数量的增长,正好与产品数量、版本数量和平台数量的增长相吻合。Kandek 认为,这正好说明了安全问题正变得多么的重要。


感谢魏星对本文的审校。

给InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们,并与我们的编辑和其他读者朋友交流(欢迎加入 InfoQ 读者交流群)。

2015 年 9 月 17 日 19:001293
用户头像

发布了 268 篇内容, 共 102.4 次阅读, 收获喜欢 18 次。

关注

评论

发布
暂无评论
发现更多内容

【程序员自救指南】中关村保洁大叔的一句话竟然帮我转正了

华为云开发者社区

服务器 数字化 华为云 企业上云 云服务器

前端科普系列(4):Babel —— 把 ES6 送上天的通天塔

vivo互联网技术

Java 前端 ES6

从《三体》到“中美科技战”,3分钟理解“网络”D丝为什么要迎娶“算力”白富美

华为云开发者社区

数据 网络 芯片 算力 三体

代理模式详解

海星

Python处理PDF的实用姿势

程一初

Python 自动化 办公

Python处理Word文件的实用姿势

程一初

Python 自动化 办公

Python处理Excel文件的实用姿势

程一初

Python 自动化 办公

Python1024办公自动化系列

程一初

Python 自动化 办公

解读 Reference

浮白

ThreadLocal Reference ReferenceQueue Finalizer WeakHashMap

JavaScript 测试系列实战(一):使用 Jest 和 Enzyme 测试 React 组件

图雀社区

单元测试 自动化测试 Jest

MySQL从入门到精通

书旅

MySQL 索引

影响音视频延迟的关键因素(三): 传输、渲染

ZEGO即构

buffer API RTC sdk

Python处理图像文件的实用姿势

程一初

Python 自动化 办公

Python处理视频文件的实用姿势

程一初

Python 自动化 办公

当地铁站都比你更努力

escray

学习 面试 面试现场

详解责任链模式

海星

LeetCode680-验证回文字符串 Ⅱ-Easy

书旅

LeetCode

带你全面认识 Linux

简爱W

MacOS 环境下 Python 访问 MySQL

李绍俊

并发神器CSP的前世今生

soolaugust

go 并发编程 并发

前端科普系列(2):Node.js 换个角度看世界

vivo互联网技术

node.js 前端

LeetCode1160---拼写单词---Easy

书旅

LeetCode

如何与面试官更好的沟通

escray

学习 面试 面试现场

宿舍晚上温度高,那是你没听“鬼故事”

华为云开发者社区

人工智能 AI 华为云 modelarts

数据库设计

Jayli

数据库

前端科普系列(3):CommonJS 不是前端却革命了前端

vivo互联网技术

Java 前端 脚本

Python处理PPT文件的实用姿势

程一初

Python 自动化 办公

Python处理音频文件的实用姿势

程一初

Python 自动化 办公

业务架构是什么?

周金根

BIZBOK 业务架构 IT帮 周金根

Python处理邮件和机器人的实用姿势

程一初

Python 自动化 办公

数字货币交易所开发,虚拟币交易平台搭建app

WX13823153201

交易所开发

微软Edge浏览器迎来首个安全更新-InfoQ