研究人員揭露Windows核心漏洞

暱稱為arkon的以色列資安研究人員上周公布有一未修補的視窗核心漏洞影響所有的Windows版本，另一資安業者Secunia已釋出該漏洞的安全公告，美國媒體報導微軟已得知此事並展開調查。

根據Secunia的說明，當使用者建立BMP檔案，把彩色值複製到一個擁有固定容量的緩衝區時，CreateDIBPalette()功能中的win32k.sys就會出現邊界錯誤，若指定一個大於256色的值，就能透過特定API導致緩衝區溢位。成功的攻擊可擴張使用者權限，允許駭客進行阻斷式服務攻擊或在系統上執行任意程式。

Secunia並不認為這是一個很危險的漏洞，不過該漏洞幾乎影響所有視窗作業系統，包括Windows XP、Windows Vista、Windows 7、Windows Server 2003及Windows Server 2008。

IDG News引述微軟的回應表示，該公司已在調查該漏洞。不過，外界認為微軟應來不及在本週二（8/10）的每月修補日中解決該漏洞，微軟本月的定期更新將創紀錄地釋出14個安全公告，修補34個漏洞。（編譯/陳曉莉）