微軟修補Windows核心漏洞Jasbug：整整花一年功夫修補的重大漏洞

微軟釋出MS15-011及MS15-014兩個安全更新以修補Windows中可能讓駭客遠端綁架Windows系統的重大（Critical）漏洞。

這次所修補的CVE-2015-0008重大漏洞是由安全研究公司Jas Advisor所發現，因而也被稱為Jasbug。Jas Global Advisor及simMachines受ICANN委託研究新型通用頂級域名（New gTLD）相關技術時發現了這項漏洞。這個漏洞由於涉及到Windows核心元件的重新設計，因此讓微軟整整花了一年時間才得以釋出更新。

該漏洞影響所有加入網域的Windows用戶端及伺服器，即公司Active Directory的成員，讓駭客得以遠端執行攻擊，並取得目標裝置的管理員層級權限。Windows使用者如果透過飯店和咖啡店等公共網路連上公司網路，將會特別危險。

微軟同時釋出MS15-011及MS15-014兩個安全更新以強化群組政策，解決網域網路中可能被用以遠端執行程式碼的網路存取漏洞。

微軟解釋，遠端程式碼執行漏洞存在於群組政策（Group Policy）在連結網域時接收與施行政策資料的過程當中。該漏洞導致群組無法取得有效的安全政策，執行可能較不安全的預設群組政策，進而可能被用來關閉網域執行的SMB簽章政策。

受影響作業系統幾乎遍及所有桌面及伺服器Windows，包括Windows Server 2003、Windows Server 2008/2008 R2、Windows Server 2012/ 2012 R2、Windows Vista、Windows 7、Windows 8/8.1/RT/RT 8.1。

這項漏洞於2014年一月即已通報微軟，當時微軟立即進行了解。何以微軟必須花一年時間才得以修補？JAS Global Advisor說明指出，不像Heartbleed、Shellshock、Gotofail和POODLE等漏洞，Jasbug是一個設計上的問題，而非實作（implementation）上的問題。微軟必須重新設計作業系統的核心元件，並加入多項安全功能才得以修補，而且還要注意回溯相容與支援組態問題。微軟在這當中還必須進行很廣泛的回歸測試以確保最小的副作用。這個漏洞的情況就算不是空前，也是十分罕見的。

微軟建議IT管理員應立即檢視微軟文件並進行修正，包括Active Directory用戶端及伺服器設定新功能。