周三，微软发布了一个权宜之计，以保护IE9和IE10不受持续的攻击，直到公司发布一个补丁，可能在三周内。
周三，微软发布了一项权宜之计，旨在保护IE9 (IE9)和IE10免受持续的攻击，直到该公司发布一个补丁(可能在三周后)。
两个黑客组织利用这两个版本的微软浏览器上一个未修补的漏洞，侵入了运行IE10的Windows 7和Windows 8电脑，其中包括运行IE10的电脑法国国防承包商根据以色列安全公司Seculert的说法，该公司及其供应商也是如此。袭击可能早在1月17日就开始了。
“所有受影响的客户应该使用简单的，一键'修复'的解决方案，并遵循安全建议中列出的缓解建议，同时更新完成，”达斯汀Childs，微软的值得信赖的计算团队的小组经理，在周三的电子邮件中说。
的安全咨询Childs提到的内容也在周三发布，微软安全响应中心(MSRC)的工程师Neil Sikka对该漏洞进行了更深入的研究安全研究和防御博客。
+也在网络世界足球竞猜app软件你应该尝试的15个免费安全工具+
旧金山安全公司CloudPassage的DevOps主管Andrew Storms说，微软不太可能为IE的漏洞匆忙推出一个紧急补丁。
“看来它仍处于有限攻击的范畴，”斯雷姆斯周三在使用一款消息应用进行的采访中说。“所以，在这种情况升温之前，我认为他们不会急于推出带外修复方案。”
微软表示，他们正在开发针对IE漏洞的补丁，但没有提供任何时间表。下一个定期的补丁是周二，离3月11日还有三周时间。
带外更新——之所以这样说，是因为它们是在微软为安全补丁维护的正常每月计划之外发布的——非常罕见:微软发布的最后一个版本是MS13-008紧急补丁发布于13个月前在IE6、IE7和IE8浏览器被利用了大约6周之后，这款软件填补了这些漏洞。
在发布补丁之前，微软为客户提供了几个保护自己的选项，包括配置EMET 4.1和运行一个“Fix it”自动工具来“修补”包含IE渲染引擎的DLL。
EMET (Enhanced Mitigation Experience Toolkit)是一个为特定应用程序手动启用反利用技术的工具，如ASLR(地址空间布局随机化)和DEP(数据执行预防)。虽然它最初是为企业it专业人士设计的，但微软近来一直将其作为更广泛受众的安全保障。
(具有讽刺意味的是，只需安装EMET就可以做到这一点;如果探测到工具箱的存在，到目前为止看到的攻击就会中止。)
但是对大多数人来说，修复路线是最简单的:微软在其支持网站上提供了该工具，客户只需要单击左边的图标，即“启用MSHTML shim工作区”。微软has used the shim approach before when faced with unexpected attacks against IE, most recently last September.
根据过去的实践，微软的修复方法可能使用应用程序兼容性工具包来修改IE的核心库——一个名为“Mshtml”的DLL(动态链接库)。dll，它包含浏览器的渲染引擎——在IE运行时在内存中。垫片并没有消除漏洞，相反，它使浏览器对微软目前所见的攻击免疫。
用户也可以放弃IE，转而使用其他浏览器，如谷歌的Chrome或Mozilla的Firefox，以确保安全，直到微软提出永久修复方案，或者如果他们有能力，升级到IE11，它不包含该缺陷。Windows 7、Windows 8和Windows 8.1用户可以运行IE11，但那些仍然卡在Windows Vista上的用户不能，因为2007操作系统在IE9上达到了极限，IE9是两个易受攻击的版本之一。
据网测公司网应用介绍，大约有1家三分之一的人使用IE正在运行IE9或IE10;大约16%，也就是六分之一的IE用户运行IE10，这是网络犯罪分子的攻击目标。
对于该漏洞的某些方面，storm感到困惑，尤其是微软的争辩，“我们不知道任何特权或沙箱逃脱漏洞被用来‘突破’ie保护模式沙箱。”
保护模式是微软对IE的标签“沙盒”，这是一种将浏览器与系统其他部分隔离开来的技术，这样，如果一个成功的攻击确实侵入了浏览器，攻击代码就不能在PC上植入恶意软件。自IE7于2006年发布以来，保护模式一直是IE的一个特性。
微软的Sikka在安全防御与研究博客上写道:“即使在该漏洞获得代码执行之后，它仍然需要一个重要的因素来导致对计算机的持续攻击。”
如果沙箱逃逸不是攻击的一部分，storm和其他人想知道攻击者是如何设法在被攻击的机器上植入恶意软件的。当被问及这意味着什么时，“风暴”回答说:“这意味着它们有些东西没有告诉我们。”
法国脆弱性研究实验室(French vulnerability research lab)首席执行官、零日软件销售商Vupen的首席执行官Chaouki Bekrar上周也有同样的想法。这是关于昨天CVE-2014-0322 in the wild的常见问题。如何能安装EXE没有IE沙箱旁路，任何旁路那里?Bekrar asked in a2月14日推针对FireEye。
格雷格Keizer为计算机世界涵盖微软，安全问题，苹果，网络浏览器和一般技术的突发新闻。在推特上关注格雷格@gkeizer,在Google +或订阅格雷格的RSS提要。他的电子邮件地址是gkeizer@computerworld.com。
看到更多信息由Gregg Keizer在Computerworld.com上发布。
阅读更多关于恶意软件和漏洞在计算机世界的恶意软件和漏洞主题中心。
这篇文章，“微软提供临时防御主动IE10攻击”最初发表《计算机世界》 。