微软发布2月份7个安全公告 修复了31个安全漏洞

发布日期：2014-02-12


综述：
======
微软发布了2月份7个安全公告：MS14-005到MS14-011，修复了MSXML、IPv6、Direct2D、
Microsoft ForeFront Protection 2010 for Exchange、.NET、IE、VBScript中的安全漏洞。
  
  我们强烈建议使用Windows操作系统的用户立刻检查一下您的系统是否受此漏洞影响，
  并按照我们提供的解决方法予以解决。

分析：
======
1、 MS14-005 - Microsoft XML Core Services信息泄露漏洞

  此更新解决了Microsoft XML Core Services内1个公开报告的漏洞。如果用户用IE
  查看特制网页，此漏洞可导致信息泄露。
  
  受影响软件:
  Windows XP
  Windows Server 2003
  Windows Vista
  Windows Server 2008
  Windows 7
  Windows Server 2008 R2
  Windows 8
  Windows 8.1
  Windows Server 2012
  Windows Server 2012 R2
  Windows RT
  Windows RT 8.1
  
  漏洞描述：
  
  MSXML信息泄露漏洞 - CVE-2014-0266
  
  该信息泄露漏洞可使攻击者读取用户本地文件系统上的文件，或者经过身份验证的
  Web域内容。当用户查看特制的Web内容时会通过IE触发MSXML，此时攻击者即可以利
  用此漏洞。
    
  临时解决方案：
  
  * 阻止在IE中使用MSXML 3.0二进制行为
  * 将互联网和本地网络安全区域设置为“高”以阻止ActiveX控件及活动脚本
  * 将IE配置为运行活动脚本之前提示或者直接禁用
  
2、 MS14-006 - IPv6拒绝服务漏洞

  此更新解决了Microsoft Windows内1个公开报告的漏洞。如果用户发送大量的特制
  IPv6数据包到受影响系统，该漏洞可造成拒绝服务。要利用此漏洞，攻击者的系统
  必须和目标系统属于同一个子网。
  
  受影响软件:
  Windows 8  
  Windows Server 2012
  Windows RT
    
  漏洞描述：
  
  TCP/IP版本6(IPv6)拒绝服务漏洞  - CVE-2014-0254
  
  Windows内TCP/IP IPv6实现存在拒绝服务漏洞，成功利用后可造成受影响系统停止
  响应。
  
  临时解决方案：
  
  * 禁用路由器发现协议。
  * 禁用互联网协议版本6(IPv6)
  * 禁用 "Core Networking – Router Advertisement (ICMPv6-In)" 进站防火墙规则
  
    
3、MS14-007 - Direct2D远程代码执行漏洞

  此更新解决了Microsoft Windows中1个秘密报告的漏洞，如果用户用IE查看特制网页，
  此漏洞可导致远程代码执行。
  
  受影响软件：    
  Windows 7
  Windows Server 2008 R2
  Windows 8
  Windows 8.1
  Windows Server 2012
  Windows Server 2012 R2
  Windows RT
  Windows RT 8.1

  漏洞描述：
  
  Window图形组件内存破坏漏洞 - CVE-2014-0263
  
  受影响Windows组件处理特制的2D几何图形时存在远程代码执行漏洞，如果用户用IE
  查看包含了特制图形的文件，该漏洞可导致远程代码执行。

4、 MS14-008 - Microsoft Forefront Protection for Exchange远程代码执行漏洞

  此更新解决了Microsoft Forefront中1个秘密报告的漏洞，如果扫描了特制的电子
  邮件，该漏洞可导致远程代码执行。
    
  受影响软件：
  Microsoft Forefront Protection 2010 for Exchange Server
  
  漏洞描述:

  RCE漏洞 – CVE-2014-0294

  Forefront Protection for Exchange存在远程代码执行漏洞，成功利用后可在配置
  了服务帐号的安全上下文中运行远程代码。  
  
5、MS14-009 - .NET Framework权限提升漏洞

  此更新解决了Microsoft .NET Framework中两个公开发布的漏洞和一个秘密报告的
  漏洞。如果用户浏览了特制的网站，最严重的漏洞可导致权限提升。
  
  受影响软件：

  Windows XP
  Windows Server 2003
  Windows Vista
  Windows Server 2008
  Windows 7
  Windows 8、8.1
  Windows Server 2008 R2
  Windows Server 2012、2012 R2
  Windows RT、RT 8.1

  漏洞描述:
  
  1）POST请求拒绝服务漏洞 - CVE-2014-0253
  
  Microsoft ASP.NET中存在拒绝服务漏洞，可使攻击者造成ASP.NET服务器不响应。
  
  临时解决方案：
  
  * 配置<serverRuntime>, <requestLimits>, <httpRuntime>元素，以便拒绝利用该
  漏洞的请求。
  
  2）类型遍历漏洞 - CVE-2014-0257
  
  Microsoft.NET Framework内存在权限提升漏洞，可使攻击者提升其在受影响系统上
  的权限。
  
  3）VSAVB7RT ASLR漏洞 - CVE-2014-0295
  
  Microsoft.NET Framework没有正确实现地址空间布局随机化，存在安全限制绕过漏
  洞。此漏洞可使攻击者绕过ASLR安全功能，然后即可加载恶意代码，利用其它漏洞。

  临时解决方案：
  * 安装Force ASLR功能修复，并启用IFEO注册表项。
  
6、MS14-010 - Internet Explorer累积安全更新

  此更新解决了Internet Explorer内1个公开报告的漏洞和23个秘密报告的漏洞。如
  果用户用IE查看特制的网页，最严重的漏洞可导致远程代码执行。
  
  受影响软件:
  Internet Explorer 6
  Internet Explorer 7
  Internet Explorer 8
  Internet Explorer 9
  Internet Explorer 10
  Internet Explorer 11  
  
  漏洞描述:
  
  1）IE权限提升漏洞 - CVE-2014-0268
  
  在验证本地文件安装时及安全创建注册表项时，IE存在权限提升漏洞。
  
  2）VBScript内存破坏漏洞 - CVE-2014-0271
  
  VBScript引擎除了内存对象时存在远程代码执行漏洞。该漏洞可破坏内存，使攻击者
  可以在当前用户上下文中执行任意代码。
  
  临时解决方案：
  
  * 设置互联网和内联网安全区域设置为“高”
  * 配置IE在运行活动脚本之前提示或直接禁用。
  
  3）IE跨域信息泄露漏洞 - CVE-2014-0293
  
  IE内存在信息泄露漏洞，可使攻击者访问另一个域或IE域内的信息。攻击者通过构建
  特制的网页利用此漏洞。
  
  临时解决方案：
  
  * 设置互联网和内联网安全区域设置为“高”
  * 配置IE在运行活动脚本之前提示或直接禁用。
  
  4）IE内多个内存破坏漏洞
  
  Internet Explorer 没有正确访问内存对象，在实现上存在远程代码执行漏洞，成功
  利用后可破坏内存，在当前用户权限下执行任意代码。这些漏洞包括：
  
  IE内存破坏漏洞 CVE-2014-0267
  IE内存破坏漏洞 CVE-2014-0269
  IE内存破坏漏洞 CVE-2014-0270
  IE内存破坏漏洞 CVE-2014-0272
  IE内存破坏漏洞 CVE-2014-0273
  IE内存破坏漏洞 CVE-2014-0274
  IE内存破坏漏洞 CVE-2014-0275
  IE内存破坏漏洞 CVE-2014-0276
  IE内存破坏漏洞 CVE-2014-0277
  IE内存破坏漏洞 CVE-2014-0278
  IE内存破坏漏洞 CVE-2014-0279
  IE内存破坏漏洞 CVE-2014-0280
  IE内存破坏漏洞 CVE-2014-0281
  IE内存破坏漏洞 CVE-2014-0283
  IE内存破坏漏洞 CVE-2014-0284
  IE内存破坏漏洞 CVE-2014-0285
  IE内存破坏漏洞 CVE-2014-0286
  IE内存破坏漏洞 CVE-2014-0287
  IE内存破坏漏洞 CVE-2014-0288
  IE内存破坏漏洞 CVE-2014-0289
  IE内存破坏漏洞 CVE-2014-0290
  
  临时解决方案：
  
  * 设置互联网和内联网安全区域设置为“高”
  * 配置IE在运行活动脚本之前提示或直接禁用。
  
7、MS14-011 - VBScript Scripting Engine远程代码执行漏洞

  此更新解决了Microsoft Windows内VBScript脚本引擎中一个秘密报告的漏洞。如果
  用户查看特制的网站，该漏洞可导致远程代码执行。
  
  受影响软件：
  VBScript 5.6
  VBScript 5.7
  VBScript 5.8 (Internet Explorer 8)
  VBScript 5.8 (Internet Explorer 9)
  VBScript 5.8 (Internet Explorer 10)
  VBScript 5.8 (Internet Explorer 11)
  
  临时解决方案：
  
  * 设置互联网和内联网安全区域设置为“高”
  * 配置IE在运行活动脚本之前提示或直接禁用。

附加信息：
==========
1. http://technet.microsoft.com/security/bulletin/MS14-005
2. http://technet.microsoft.com/security/bulletin/MS14-006
3. http://technet.microsoft.com/security/bulletin/MS14-007
4. http://technet.microsoft.com/security/bulletin/MS14-008
5. http://technet.microsoft.com/security/bulletin/MS14-009
6. http://technet.microsoft.com/security/bulletin/MS14-010
7. http://technet.microsoft.com/security/bulletin/MS14-011

声 明
==========

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

关于绿盟科技
============

绿盟科技（NSFOCUS Co., Ltd.）是中国网络安全领域的领导企业，致力于网络和系统安全问题的研究、高端网络安全产品的研发、销售与网络安全服务，在入侵检测/保护、远程评估、 DDoS攻击防护等方面提供具有国际竞争能力的先进产品，是国内最具安全服务经验的专业公司。有关绿盟科技的详情请参见： http://www.nsfocus.com

© 2024 绿盟科技