MSVIDCTL (MS09-032) 与 ATL 漏洞

今天我们发布了安全公告973882，详细描述了Microsoft Active Template Library (ATL)中的漏洞，以及针对Internet Explorer (MS09-034)和Visual Studio (MS09-035)的安全更新。Visual Studio更新解决了ATL头文件和库公共版本中的多个漏洞。IE更新包含两项深度防御缓解措施，有助于防止利用安全公告973882和MS09-035中描述的ATL漏洞（IE更新还包含与ATL问题无关的其他安全修复）。

MSVIDCTL漏洞 (MS09-032) 是否与此次ATL更新相关？

首先，7月发布针对msvidctl的kill bits（MS09-032）将阻止msvidctl的公开利用，如此处所述。此公开利用利用了msvidctl使用修改版易受攻击ATL头文件的事实，该版本并非公共版本。此次攻击中利用的漏洞存在于ATL的私有版本中，如安全公告973882所述。在此特定实例中，漏洞允许攻击者破坏内存，可能导致远程代码执行。有关此特定问题的更多信息，请参阅Michael Howard在SDL博客文章中的“Bug 1”。

有助于防护ATL问题的IE更新是否也能防护msvidctl攻击？

即使没有MS09-032的kill-bits，MS09-034中的IE缓解措施也将有助于防护Visual Studio公告中描述和修复的所有ATL漏洞的利用。也就是说，我们强烈建议您不要移除MS09-032，并保持机器完全更新。

• Fermin J. Serna, MSRC Engineering
  发布内容“按原样”提供，不提供任何担保，也不授予任何权利。