微軟Media Player漏洞攻擊程式現身

微軟在上周四（12/7）提出警告，可攻陷視窗Media Player漏洞的概念性驗證程式已被公開，呼籲使用者要小心防範。

微軟安全回應中心安全專案經理Alexandra Huft表示，他們已知道有一影響Windows Media ASX檔案格式的概念性驗證程式，並正調查中，現階段並無發現任何實際的攻擊。

該漏洞存在於Media Player 9及Media Player 10中，最早是在11月22日由資安業者eEye所揭露，當時該漏洞僅被列為有阻斷式服務攻擊的風險，不過現今資安業者發現駭客可透過該漏洞掌控使用者電腦。

eEye指出，該漏洞可能會在開啟一個.asx媒體檔案時導致緩衝區溢位錯誤；另一資安業者FrSIRT則說該漏洞可讓駭客在受害者電腦上執行任意程式，因此將其列為重大（critical）風險等級。

eEye說，.asx檔案格式可透過瀏覽器自動開啟，因此，駭客僅需將一惡意的 .asx檔案放在網站上並且誘使使用者去造訪該網頁，或是透過電子郵件將該檔案傳送給使用者都可能造成使用者受害。

微軟建議，使用者可關閉瀏覽器中的Active Scripting功能，讓瀏覽器不要自動開啟.asx檔案，這樣可以大幅度降低風險，不過並不能完全免除被駭的危險。

FrSIRT則建議使用者昇級到沒有受到該漏洞影響的Media Player 11。（編譯/陳曉莉）