微软再发布IE漏洞例外修补程序,所有版本都要安装

微软两周前发布例外修补程序,以修补IE零时差攻击漏洞,但可能引发了些问题,周四(10月4日)微软再发出例外修补程序,并提醒所有Windows版本用户都应立即安装,因为已经有攻击发生。微软并提醒用户,这波更新后,下周还有每月安全更新要安装。

微软指出,KB4524147版本修补程序是两周前(9月24日)的例外更新的扩大发布,属“必要安全更新”,主要修补编号CVE-2019-1367的IE零时差攻击漏洞。两周前虽然微软已警告网络上已有这项漏洞的攻击程序,但仅通过Windows Update Catalog发布,需要用户手动下载。最新的例外修补程序则会经由Windows Update、以及企业用户的Windows Server Update Services (WSUS),自动更新到用户计算机。

CVE-2019-1367是由Google威胁分析小组研究人员Clement Lecigne发现,它发生在IE脚本引擎处理内存对象的过程中,可造成内存毁损,允许攻击者执行任意程序代码。如果用户具有管理员身份,则成功开采本漏洞的黑客,将能接管整台机器,进而安装程序、修改/变更/删除数据,或是添加完整权限的用户账号。

最新版更新还修补其他问题。一是Windows中“打印多任务缓冲处理器”服务(print spooler service)问题,造成无法打印,另有一些app,像是远程程序调用(Remote Procedure Call,RPC)发生关闭或执行错误情形。根据微软网页信息,本问题发生用户在安装针对CVE-2019-1367的更新后,因此可能是本次更新所引发。

此外,周四的更新还解决Windows安装随选功能(Features on Demand,FoD),像是.Net 3.5过程中出现“变更无法完成,请重开机再试一次。错误代码: 0x800f0950”的消息。

微软同时提醒会在下周三(美国时间10月8日),再发布10月份的Update Tuesday,和周四的更新是不同的两个软件组件,因此用户安装这波更新后,记得下周还是要再更新一次。