2009年6月のセキュリティ情報

作者：Japan Security Team
发布日期：2009年6月9日
阅读时间：12分钟

小野寺です。
2009年6月的安全信息没有提前通知变更，按计划共有10项（紧急6项、重要3项、警告1项）。
同时，还更新了MS09-017，并发布了2项安全建议，更新了2项。

安全信息（新规）

概要信息、部署信息以及漏洞利用指标（Exploitability Index）汇总在以下网站：
http://www.microsoft.com/japan/technet/security/bulletin/ms09-jun.mspx

每月发布时提供的单点安全信息计划在以下网站和本Blog公开：
http://technet.microsoft.com/ja-jp/dd251169.aspx

MS09-018（Active Directory）：

接收或处理特殊构造的LDAP（LDAPS）请求时可能远程执行代码。
仅Windows 2000 Server的Active Directory（AD）可能远程执行代码，其他OS如Windows Server 2003即使攻击成功也会导致服务拒绝，严重性评估为重要。无论如何，AD被入侵或停止都是不希望的，建议尽早应用。

MS09-019（Internet Explorer）：

处理多个漏洞，但多数情况下通过访问恶意构造的网站可能远程执行代码。
发布时未确认被利用，但考虑到最近的受害案例，建议在实际被利用前应用此更新程序。

MS09-020（IIS）：

接收或处理特殊构造的WebDAV请求时可能发生特权提升。
这是对应安全建议（971492）中告知的漏洞的更新。

MS09-021（Excel）：

打开特殊构造的Excel文件可能远程执行代码。
仅Office 2000（Excel 2000）的严重性评估为紧急。公司内部验证显示，Office XP及以后版本实际代码执行的可能性比Office 2000低。但由于文档文件攻击仍然较多，应该应用。

MS09-022（Spooler）：

接收或处理特殊构造的打印假脱机程序请求时可能远程执行代码。
仅Windows 2000可能远程执行代码，其他OS环境可能仅特权提升或信息泄露。

MS09-023（Windows Search）：

特殊构造的文件被Windows Search作为搜索结果显示时可能信息泄露。
受影响环境中，Windows Search默认未安装，需手动安装。注意，这与Windows XP的搜索功能不同。

MS09-024（Works转换器）：

打开特殊构造的Works文件可能远程执行代码。
与MS09-021类似，仅Office 2000的严重性评估为紧急。

MS09-025（Kernel）：

执行特殊构造的程序可能发生特权提升。

MS09-026（RPC）：

处理特殊构造的RPC消息可能发生特权提升。
由于漏洞详情已公开，建议尽早应用更新，但实际利用条件有限，有时可以充分斟酌应用时机。

MS09-027（Word）：

打开特殊构造的Word文件可能远程执行代码。
与MS09-021类似，仅Office 2000的严重性评估为紧急。

安全信息（更新）

MS09-017（PowerPoint）：

MS09-017首次发布时未提供的Mac版PowerPoint等更新程序开始提供。

安全建议（新规）

安全建议（971888）：DNS Devolution更新程序

DNS名称解析时，有称为devolution的机制，会回溯域名后缀重新搜索。此更新程序新增限制回溯层级的功能。此更新可能改变名称解析行为，建议应用前仔细阅读建议和支持技术信息。

安全建议（969898）：ActiveX Kill Bit更新程序汇总

此更新程序添加Killbit以限制Internet Explorer中不希望运行的ActiveX。不是对应Microsoft产品的新漏洞，仅对应第三方软件漏洞，因此作为常规更新程序提供。

安全建议（更新）

安全建议（945713）：Web代理自动发现（WPAD）漏洞导致信息泄露

WPAD搜索时，可能因devolution搜索到组织外的WPAD，结合建议971888的发布更新了对策方法等。

安全建议（971492）：Internet信息服务漏洞导致特权提升

因MS09-020处理了漏洞，进行更新。

恶意软件删除工具（MSRT）

本月对应InternetAntivirus。两者都是最近持续增加的欺诈性防病毒软件的一种。

余谈

数月前，Geno及其系列恶意软件（JSRedir-R, JS/Gamburl）引起关注，建议借此机会不仅检查Microsoft产品如Windows的更新程序，也注意其他公司的应用程序等是否应用了更新程序。恰巧Adobe公司今天也开始提供新的安全补丁，相关用户建议顺便在Microsoft Update时应用。

此外，国内似乎有不少散布Geno等的网站。建议再次检查自身网站的内容？但检查时，不仅检查磁盘上的数据，还需检查浏览器显示状态（相同数据）的源代码。粗暴的方法，如果发现不认识的unescape、base64、eval等词语，建议仔细查看。由于可能被混淆，这不是绝对可靠的发现方法，但建议结合此类方法和内容恶意软件检查。

最近，此类窃取密码的Password Stealer持续增加，希望首先扎实实施基本对策。