Re: [-IE-] 美國官方對ie漏洞發出聲明

[pichupichu (浮雲飄呀飄)]

有點懶惰，重點翻譯。
※ 引述《rottenrotter (trash)》之銘言：
: 原網址 http://ppt.cc/OcgV
: (英文盲,無能翻譯請見諒)
: (http://www.kb.cert.org/vuls/id/222929).
: PS.微軟建議應急方式(節錄自http://ppt.cc/cI~7)
: 1.Deploy the Enhanced Mitigation Experience Toolkit 4.1
安裝最新的修正檔。
: 2.Set Internet and Local intranet security zone settings to "High"
:   to block ActiveX Controls and Active Scripting in these zones.
在網路設定中，把網際網路與近端的安全性設到最高。
個人註解:有些網站功能會因此有問題，如網路銀行或報稅。
: 3.Configure Internet Explorer to prompt before running Active Scripting
:   or to disable Active Scripting in the Internet and Local intranet
:   security zone
設定IE在執行ACTIVE SCRIPT這類程式時，必須先提示或直接禁用。
個人註解:同上。
: 4.Modify the Access Control List on VGX.DLL to be more restrictive
鎖定關鍵檔案之讀寫權限，避免被駭客修改。
個人註解:這一般使用者根本不知道怎樣操作。
: 5.Enable Enhanced Protected Mode For Internet Explorer 11 and Enable
:   64-bit Processes for Enhanced Protected Mode
開啟IE11的保護功能。
個人註解:實測上是心安居多

不少科技網站建議，因為這漏洞是死到IE骨子裡，最直接避免的方式是從此停用IE。
另外一提昨天FLASH也剛好炸出零日漏洞，記得先停用等更新。

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.37.161.163
※ 文章網址: http://www.ptt.cc/bbs/Browsers/M.1398784846.A.B29.html
→ ducksteven:1指的是這個http://support.microsoft.com/kb/2458544
推 Anadyomene:請問這個所謂漏洞是要先連到釣魚網站才會中獎是吧？
目前看起來是這樣，但是這只是有公布的部分，實際傷害可能更大。
推 ducksteven:5的EPM會封鎖某些功能，基本上是好的，但外掛會不能開
→ ducksteven:外掛是指Flash之類的
所有功能都關掉當然安全，但是就是因噎廢食，此外功能關太多真的很難用。
→ ducksteven:詳細可以看微軟官網 http://goo.gl/h7W2D
→ ducksteven:最後是我認為漏翻的前一段更重要「最好改用別的瀏覽器
幸好目前只是IE的洞，還能改用其他的迴避，不然就慘了。
※ 編輯: pichupichu (114.37.161.163), 04/30/2014 07:11:01
推 rockmanx52:囧 我現在的Flash專用瀏覽器就IE了啊
→ rottenrotter:flash已更新,請升級到13.0.0.206 (for windows)
→ George017:進階保護模式中外掛會被擋，但是一些頁面會詢問是否啟用
→ George017:某些外掛程式(但請先裝好，不然可能會裝不起來)
→ George017:本人的例子是fsplay
→ George017:另外，8.1好像還多了一個[啟用64位元處理序]的選項
→ George017:上面這個是搭配進階保護一起用的
→ George017:8/8.1的請看Windows Update，已經有Flash的更新了