日本微軟4月10日，包含在Windows OS及Internet Explorer（IE）等中的Java運(yùn)行環(huán)境“Microsoft VM”中存在嚴(yán)重安全漏洞。由于Microsoft VM的檢查功能出現(xiàn)了問題，因此可能會(huì)運(yùn)行嵌在Web網(wǎng)頁(yè)與HTML郵件中的惡意Java Applet。

　　安全對(duì)策是運(yùn)行“”，然后安裝已修正過的Microsoft VM，或者在IE設(shè)置中將Java設(shè)為無效。

　　安全漏洞的嚴(yán)重程度為等級(jí)最高的“緊急”級(jí)。幾乎所有Windows用戶都會(huì)受到該漏洞的影響，因此必須立即采取措施。

　　此次是在Microsoft VM的“ByteCode Verifier”中發(fā)現(xiàn)了安全漏洞。ByteCode Verifier是在運(yùn)行Java Applet（程序）之前進(jìn)行驗(yàn)證的流程。由于ByteCode Verifier出現(xiàn)了問題，因此無法準(zhǔn)確檢查出被做過手腳的惡意Java Applet，導(dǎo)致可能會(huì)在用戶的機(jī)器上運(yùn)行惡意Java Applet。

　　由于Java Applet可以從Web網(wǎng)頁(yè)及HTML郵件調(diào)出，因此用戶僅僅是瀏覽Web網(wǎng)頁(yè)或HTML郵件，就可能運(yùn)行惡意Java Applet。這一惡意Java Applet可通過瀏覽網(wǎng)頁(yè)及郵件的用戶權(quán)限進(jìn)行任意操作，也就是說可以控制用戶的機(jī)器。

　　受其影響的是安裝Microsoft VM Build 3809以前（包括3809）版本的Windows電腦。由于發(fā)現(xiàn)安全漏洞之前最新版3809才剛剛發(fā)行，因此基本上所有的Windows用戶都會(huì)受到影響。

　　據(jù)日本微軟的資料，Microsoft VM除作為Windows OS與IE的部分內(nèi)容提供之外，還作為許多其他應(yīng)用的部分內(nèi)容提供。因此建議用戶確認(rèn)Build序號(hào)，以便判斷是否會(huì)受到影響。

　　當(dāng)前正在使用的Microsoft VM的Build序號(hào)，可通過“MSJAVA.DLL文件”的版本及“JVIEW指令”查知。在使用IE 4.01 SP1的環(huán)境中，通過MSJAVA.DLL文件的版本查到的Build序號(hào)是準(zhǔn)確信息。

　　安全對(duì)策為安裝已對(duì)安全漏洞進(jìn)行修正的Microsoft VM（Build3810）。用戶可通過“Windows Update”進(jìn)行安裝（至于Windows 2000 SP2/SP3所用版本，也可從下載）。

　　在Windows Update中，Build3810的Microsoft VM顯示的是“816093：已對(duì)安全問題進(jìn)行修正的程序”。另外，在Build3810中已對(duì)過去發(fā)現(xiàn)的所有Microsoft VM安全漏洞進(jìn)行了修正。

　　在IE設(shè)置中將Java Applet設(shè)為無效，也可以避免受到安全漏洞的影響。

　　此前已多次在Microsoft VM中發(fā)現(xiàn)嚴(yán)重的安全漏洞，今后還極有可能出現(xiàn)。另外，由于2004年1月以后微軟將不再進(jìn)行安全方面的修正，因此建議將Java功能設(shè)為無效。

　　另外，Outlook Express 6及Outlook 2002中的默認(rèn)設(shè)置為“區(qū)域限制”，因此如果不改變?cè)O(shè)置，在HTML郵件中不會(huì)被惡意使用此次的安全漏洞。在Outlook 98與Outlook 2000方面，如果使用“”，同時(shí)也就設(shè)置了“區(qū)域限制”，因此也不會(huì)受到此次安全漏洞的影響。

　　在Proxy Server與ISA Server中也存在安全漏洞

　　當(dāng)天，日本微軟還了“Proxy Server 2.0”與“Internet Security and Acceleration (ISA) Server 2000”中的安全漏洞。如果向啟動(dòng)Proxy Server 2.0或者ISA Server 2000的機(jī)器發(fā)送做過手腳的數(shù)據(jù)包，就會(huì)將CPU的資源全部耗盡，無法提供正常的服務(wù)。也就是可能導(dǎo)致DoS攻擊（拒絕服務(wù)攻擊）。

　　對(duì)策是安裝日本微軟的補(bǔ)丁。安全漏洞的危害程度是僅次于緊急級(jí)的“重要（Important）”級(jí)。因此運(yùn)行Proxy Server及ISA Server的管理員必須采取相應(yīng)措施。