CVE-2014-4114 和 CVE-2014-3566，cve20144114

CVE-2014-4114 和 CVE-2014-3566，cve20144114

這兩天關注安全的人員都會特別留意這兩個新披露的漏洞：CVE-2014-4114 和 CVE-2014-3566。下面我們就針對這兩個漏洞最一些簡要說明。

CVE-2014-4114
-------------------------

這個漏洞已經在本周發布的MS14-060更新中被修複，我們建議使用者儘快部署安裝此安全更新來防範相關的潛在威脅。這個漏洞存在於Windows系統對於OLE內嵌對象的處理方式中，因此雖然是一個作業系統層面的漏洞，但最為常見的載體卻是Office文檔等支援OLE對象的檔案。作為緩解措施和安全最佳實務，我們建議所有使用者在開啟任何來源不明的文檔時要特別注意，盡量不要直接開啟由陌生人發送或分享的Office、PDF等文檔。有關此漏洞的更多技術分析內容，大家可以參考http://www.freebuf.com/news/46956.html。

CVE-2014-3566
-------------------------

在這個漏洞最初被曝光的時候，很多人將其和不久前的OpenSSL心臟出血（Heartbleed）漏洞相提並論，認為其危害性堪比Heartbleed。不過事實的情況並非如此。目前CVE-2014-3566的主要危害是泄露使用者在SSL加密通道中的資訊，比如cookie等，但攻擊者要實現這一攻擊首先要在使用者的網路環境中能夠截獲用戶端和伺服器之間的通訊，其次攻擊者需要發送大量的請求才能獲得一個cookie的完整內容，理論上是發送256次請求可以獲得一個位元組的資訊，因此攻擊實施的效率並不是太好。有關此漏洞的技術分析可以參考http://drops.wooyun.org/papers/3194。

這是一個專門針對SSL 3.0的資訊泄露漏洞，TLS並不受影響。因為SSL 3.0是一個業界的安全性通訊協定，所以它不僅影響微軟的Windows系統，還同樣影響所有支援SSL 3.0的其他系統和應用。也正是因為這是一個業界協議標準中的安全性漏洞，修複起來就沒有那麼容易，微軟目前無法直接發布一個更新來更改SSL 3.0協議的處理方式。對於SSL 3.0協議還需要眾多廠商和標準組織一起參與，來做出最合適的決定。微軟目前也沒有計劃全面在Windows中禁用SSL 3.0，原因是現在還有非常大量的伺服器不能支援TLS而只支援SSL，因此全面禁用SSL 3.0勢必會造成大量的相容性問題。對於普通使用者而言，我們還是將禁用SSL 3.0作為針對此漏洞的緩解措施。在禁用SSL 3.0後當然用戶端不用再擔心因為這個漏洞而導致的資訊泄露，但如果使用者發現某些HTTPS網站無法訪問，那很可能是因為該網站只支援SSL。具體在Windows或IE中禁用SSL 3.0的方式請大家參考微軟的安全通報3009008。

程淩

微軟大中華區安全專案經理