安全業者：微軟本月例行更新危險等級被低估

微軟於周二（7/8）的每月例行更新中釋出4個更新，修補9個安全漏洞，渉及的產品包括SQL Server、Windows Explorer、Windows DNS及Exchanger Server等，雖然微軟僅將這4個安全更新列為中度的「重要」（Important）等級，不過資安業者認為企業IT人員不可等閒視之。

此次微軟修補了SQL Server中的4個安全漏洞，最嚴重的情況可允許駭客執行任意程式並取得系統掌控權；另一個Windows Explorer中的漏洞則能允許駭客透過惡意的檢索儲存檔案（saved-search file）取得系統掌控權；DNS更新程式修補了兩個可用來詐騙的漏洞；Exchange Server更新則修補兩個Outllok網路存取漏洞，這兩個漏洞可讓駭客取得個別客戶端的資料。

在此一例行性更新資訊出爐後，不少資安業者認為微軟低估了這些漏洞所帶來的安全風險。有部份業者認為這當中最嚴重的當數DNS漏洞。DNS主要負責將網域名稱轉為IP位址的功能，為一網路連結系統的重要功能，而此次的DNS安全漏洞則能讓駭客將使用者所輸入的網域轉址到偽造的網站上。此一稱為DNS快取污染（DNS cache poisoning）的漏洞讓駭客能夠執行類似網路釣魚的攻擊，而且不需要寄送夾帶惡意連結的電子郵件給使用者。

也有資安業者認為不得輕忽SQL及Exchange Server漏洞，因為許多企業在SQL資料庫伺服器上不僅儲存基本商業資料，還存放了客戶資料及重要的機密文件，並且透過Exchange伺服器傳送這些資料。因此建議經常仰賴SQL及Exchange的企業要及早部署更新程式。（編譯/陳曉莉）