關於 "IE爆安全漏洞！" 新聞之看法

"The exploit leverages a previously unknown use-after-free vulnerability, and uses a well-known Flash exploitation technique to achieve arbitrary memory access and bypass Windows’ ASLR and DEP protections."

"Additionally, the attack will not work without Adobe Flash. Disabling the Flash plugin within IE will prevent the exploit from functioning."

看了一下最近 IE 安全漏洞新聞

讀完之後覺得有兩個想法：

1.很明顯的，這是 flash 漏洞導致的問題，但 IE11 的 FLASH 與過去版本不同，桌面版本的 IE11 仍可使用 Adobe 插件，所以這漏洞應該在，Metro 版本 IE11 使用的是微軟做的 flash 相容品，應該沒問題。要防堵這漏洞，Adobe 堵住 flash 漏洞應該也可以，不一定要微軟更新。實際上本漏洞發現者 FireEye 也發現停用 IE 的 Adobe flash plugin 也可避免被攻擊。

2.問題比較大的是利用這個漏洞，可以繞過系統的 ASLR 與 DEP 保護機制，這部分可能不是單純修補 IE 的問題，這是新聞沒說的。但新聞也提到開啟 IE 的加強保護模式或是安裝微軟 EMET 套件也可以避免這個漏洞，EMET我是沒安裝過，但 IE11的加強保護模式，我是有啟動過，但是這模式會跟一些防護軟體對衝，導致效率下降(表示這模式其實與防護軟體功能是一樣的，就像安裝兩套防毒軟體會對衝一般。）所以，安裝防護軟體應該也有依樣效果。因此，個人認為如果必須使用 IE的環境至少安裝 EMET 、防護軟體或開啟保護模式吧。

原新聞網址：

http://www.fireeye.com/blog/uncategorized/2014/04/new-zero-day-exploit-targeting-internet-explorer-versions-9-through-11-identified-in-targeted-attacks.html

微軟 EMET 4 下載網址

http://www.microsoft.com/en-us/download/details.aspx?id=41138