Windows下僅有15%的公開(kāi)DLL劫持漏洞被修復(fù)

Win7之家（ www.airtaxifl.com）：Windows下僅有15%的公開(kāi)DLL劫持漏洞被修復(fù)

據(jù)國(guó)外媒體報(bào)道，斯洛文尼亞安全公司ACROS Security公布的數(shù)據(jù)顯示，僅有15%的公開(kāi)DLL劫持漏洞被修復(fù)。

大約100天前，DLL漏洞和與EXE相關(guān)的加載漏洞被首度公布。此類(lèi)漏洞源于微軟Windows平臺(tái)執(zhí)行文件搜索時(shí)的不當(dāng)操作，攻擊者可利用漏洞執(zhí)行任意代碼。

據(jù)安全信息服務(wù)商Secunia稱(chēng)，到目前為止，僅有23個(gè)（共151個(gè)）DLL植入漏洞被修復(fù)。相反，7/8的已知EXE加載漏洞已經(jīng)被修復(fù)。

ACROS 公司總裁Mitja Kolsek在其博客中寫(xiě)道：“有趣的是，在一些瀏覽器開(kāi)發(fā)商首度曝光漏洞后，小型開(kāi)發(fā)公司修復(fù)了多數(shù)的漏洞，或許主要是一些開(kāi)源軟件公司。”

那么，究竟是什么原因使得大型開(kāi)發(fā)公司修復(fù)軟件漏洞比較滯后呢？“一般而言，大型開(kāi)發(fā)公司的補(bǔ)丁測(cè)試費(fèi)用較高，而且他們的商業(yè)模式無(wú)法為安全補(bǔ)丁提供豐厚的獎(jiǎng)金，”Kolsek認(rèn)為。

2008年12月至2010年7月間，ACROS共統(tǒng)計(jì)到至少66個(gè)DLL植入漏洞，其中只有6%的漏洞被修復(fù)，另外的28個(gè)EXE植入漏洞都未被修復(fù)。

Kolsek表示：“不清楚受影響程序開(kāi)發(fā)商是否知道存在的漏洞。”