上週六(4/26),微軟發佈了
安全通報CVE-2014-1776,提醒針對IE 6到IE 11的瀏覽器都包含了安全漏洞,很容易受到來自惡意網站的遠端攻擊。針對此一安全弱點,在還沒有獲得安全更新來修補之前,建議企業及早注意並採取對應的安全措施,以避免受到不當入侵和危害。
微軟表示,當使用者以IE瀏覽器瀏覽了惡意網站時,這項安全漏洞將會讓駭客能取得現有使用者的權限,也就是說,如果使用者具有系統管理員權限的話,駭客就可以利用它在電腦上安裝惡意程式、創建其他使用者帳號,以及存取或刪除儲存在電腦中的資料。
資安專家指出,為了降低安全風險,目前可以採取的安全措施,包括了
暫時關閉瀏覽器的Adobe Flash Player功能、
改為使用非IE的瀏覽器,以及
下載安裝微軟的安全工具包Enhanced Mitigation Experience Toolkit (
EMET)等。在微軟的EMET工具中,包括了最新的安全技術,可以讓有經驗的系統管理員自行部署,以便阻擋可能面臨的攻擊,這項工具同時也適用於目前已經停止安全更新支援的Windows XP。
美國電腦緊急應變中心(US-CERT)也建議,企業可以考慮使用其它替代的瀏覽器如Google Chrome或Mozilla Firefox,直到IE的漏洞被成功修補為止,但是這項做法對於許多企業來說,萬一內部相關的應用系統只相容於IE的話,就會造成其他的問題。
資安專家強調,有許多企業的電腦往往賦予了使用者過大的權限,一旦這些具有系統管理員權限的電腦被入侵,就有可能被當做跳板來入侵其他的系統,或是藉此獲得其他更大的權限。因此實務上建議,企業應該秉持最小權限原則,
只將管理員權限指派給真正需要的人員。
此外,為了降低資安風險,在企業內部實施適當的
網段隔離也是可行的做法,可以藉此區隔含有敏感性資料的電腦系統,以避免受到此一漏洞攻擊的進一步危害。
5/5更新:微軟已於5/2釋出IE所有版本的安全更新
MS14-021,包含已停止支援的Windows XP,如未開啟「自動更新」可至控制台點選「檢查更新」。