今天看到这么一条新闻(来源360.cn):
受此漏洞影响,几乎所有浏览器、即时聊天工具、Office程序以及看图软件等第三方软件都可能成为木马传播的渠道。网民即便没有点击运行任何程序,只要浏览了BBS、博客、电子邮件或即时聊天窗口里带木马的图片,就会立即中招。一旦网民查看了这些带木马的图片,或浏览了带木马图片的网站,攻击者就能利用这一GDI+图片漏洞远程执行代码和安装程序,随意查看、更改或删除用户的电脑数据,或者创建能完全访问用户电脑的新帐户。也就是说,攻击者可以利用该漏洞完全控制住你的电脑!
360还如此介绍:
据奇虎360安全专家介绍,此次微软爆出的GDI+图片漏洞非常严重,有点类似以前的“光标漏洞”和“wmf漏洞”,但涉及的图片格式更多,包括bmp、wmf、gif、emf、vml等,因此漏洞涉及面广,影响网民数众多,危害程度特别巨大,堪称“微软有史以来最大的安全漏洞”。
无论如何,我都不太愿意下载360提供的exe杀毒文件(个人洁癖,360的粉丝请绕行)。于是进行了一些调查。利用Google Blogsearch,看到一些线索:Microsoft Windows GDI+ WMF buffer overrun vulnerability
原文如此说:
Microsoft Windows GDI+ contains a vulnerability that can allow a remote attacker to execute arbitrary code. The vulnerability is due to improper memory allocation when processing specially crafted WMF image file. An attacker can entice users to visit a specially crafted website to execute arbitrary code.
也就是说:微软GDI+包含了一个可以被利用执行某些越权代码。这是由于在处理某些WMF图形文件时造成的。(似乎不像360所说的那样啊?)攻击者可以诱惑用户浏览某些包含越权代码的网站来进行攻击(这个似乎也和360说的不太一样)
解决方案:
其他系统、应用解决方案见原文。