Google工程師揭露Windows漏洞

微軟上周發布一安全性公告，指出視窗作業系統中的協助及支援中心（Windows Help and Support Center）功能含有漏洞，可能允許遠端程式攻擊，該漏洞影響Windows XP及Windows Server 2003。

協助及支援中心是微軟用來向使用者說明各種視窗功能與硬體裝置相容性的應用程式，此一漏洞是由Google工程師Tavis Ormandy所揭露，Ormandy透過Full Disclosure的郵件論壇表示，協助及支援中心是微軟視窗作業系統中的預設功能，以讓使用者可透過URL連結存取網路上的文件，微軟採用HCP協定管理元件將該中心轉為有限制的模式，只允許白名單內的文件與參數來保障該服務的安全。

不過，Ormandy發現，白名單中的執行錯誤可讓駭客繞過上述機制，Ormandy並公布了相關的概念性驗證程式。

根據微軟的說明，視窗作業系統以HCP協定來執行URL連結以開啟協助及支援中心，其安全威脅來自於該協助及支援中心無法在使用HCP協定時妥善地驗證URL，當使用者造訪惡意的網站或自郵件中點選一個惡意連結時，就可能導致遠端程式攻擊。

微軟亦指出，雖然相關的概念性驗證程式已曝光，但尚未接獲實際攻擊報告，同時微軟也正在開發該漏洞的更新程式，一旦完成就會發表。微軟除了建議使用者不要開啟來路不明的網站外，也提出了權宜性補救措施，使用者可移除HCP協定的登記，但這樣一來使用者就暫時無法連結到使用hcp://的所有協助文件。微軟已針對該權宜性措施提供Fix it自動設定工具。