保护客户与风险评估

今日，微软对Shadow Brokers公开的大量漏洞利用工具包进行了分类处理。客户对此披露可能带来的风险表示担忧，这是可以理解的。我们的工程师已调查了所披露的利用工具，其中大多数漏洞已被修补。以下是我们的调查更新。

当潜在漏洞被报告给微软时，无论是来自内部还是外部来源，微软安全响应中心（MSRC）都会立即启动全面调查。我们努力迅速验证声明，并确保修复那些使客户面临风险的合法、未解决的漏洞。一旦验证，工程团队会优先考虑尽快修复报告的问题，同时考虑跨任何受影响产品或服务以及版本的修复时间、对客户的潜在威胁以及利用的可能性。

所披露的大多数利用工具属于我们受支持产品中已修补的漏洞。以下是确认为已通过更新解决的利用工具列表。我们鼓励客户确保其计算机是最新的。

在剩余的三个利用工具中，“EnglishmanDentist”（CVE-2017-8487）、“EsteemAudit”（CVE-2017-0176）和“ExplodingCan”（CVE-2017-7269），在受支持的平台上均无法复现，这意味着运行Windows 7及更高版本Windows或Exchange 2010及更新版本Exchange的客户不会面临风险。鼓励仍运行这些产品先前版本的客户升级到受支持的版本。

我们长期支持协调漏洞披露，作为确保客户和计算生态系统保持保护的最有效手段。这种协作方法使我们能够全面了解问题，并在客户因攻击方法的公开披露而面临风险之前提供保护。我们与全球的安全研究人员密切合作，他们通过secure@microsoft.com私下报告问题。我们还为许多报告的漏洞提供漏洞赏金，以帮助鼓励研究人员负责任地披露。

Phillip Misner，首席安全组经理，微软安全响应中心

2017年6月13日更新：今天对此博客进行了更新，以提供作为2017年6月更新星期二发布的一部分发布的额外更新的CVE编号。有关此发布的更多信息，请访问MSRC博客“2017年6月安全更新发布”。