开放源代码IE补丁软件有缺陷 被迫重新发布

> 　　当地时间上周六(12月20日)，在第一款开放源代码的IE补丁软件被发现包含缓冲区溢出缺陷后，Openwares.org被迫重新发布了这款补丁软件。这一缓冲区溢出缺陷型缺陷的危害性远大于它要修正的缺陷。



　　据Openwares称，只有约6500名用户下载了原来的补丁软件。安全专家在上周已经警告人们不要安装该补丁软件。除了信任问题外，该补丁软件的作者不能使用IE的源代码，可能与未来的微软公司产品发生冲突。



　　IE中的缺陷能够使其地址栏显示任意的地址，使黑客欺骗用户。Openwares的第一款补丁软件过滤了任何包含可疑字符的URL，但只有在地址长度少于256个字符时才有效，更长的地址会导致缓冲区溢出缺陷缺陷。



　　Openwares的管理人员称，新版补丁软件进行了重写，并由数十名用户帮助进行了测试。如果还不相信，用户可以自己看其源代码。截止周一上午早些时候，约有2500名用户下载了新的补丁软件。



　　微软公司还没有发布针对这一缺陷的补丁软件，也没有透露会在何时发布补丁软件的口风。10月份，微软公司采取了每月发布一次补丁软件的策略，但它在12月份表示将不发布补丁软件，也许这一问题要等到1月中旬才能够被修复。12月初，也就是在这一问题被发现数周后，微软公司的一名安全经理伊恩表示，微软公司的重点是提高补丁软件的质量，这会对发布时间产生影响。



　　通常情况下，用1、2个月的时间开发补丁软件不会引起广泛注意，因为安全缺陷在公开前通常会被首先通报给微软公司。这次，微软公司没有获得安全研究人员的提前通报，使得它不能及时地开发出相应的补丁软件。



来源： 硅谷动力  作者：月牙儿编译

Tags：