转载

卡巴斯基实验室发现Silverlight零日漏洞

日前，卡巴斯基实验室发现了在Silverlight应用程序中存在一个危险的零日漏洞，为百万用户带来安全隐患。

本周三，在一篇博文中，网络安全公司卡巴斯基表示，该漏洞将允许攻击者获取进入到受感染计算机的权限并执行恶意代码窃取秘密情报，并且可以随他们的意志实施监视，并造成大规模的破坏。

Silverlight中文名为“微软银光”，是由微软公司开发的一种新的Web呈现技术，借助该技术，您将拥有内容丰富、视觉效果绚丽的交互式体验。支持来自全球的数百万PC用户在不同的操作系统上安装操作，框架内的安全漏洞被报道的现象并不常见，但是，这些漏洞可能是具有灾难性的。Microsoft Silverlight远程代码执行漏洞(CVE-2016-0034)，是在Ars Technica（美国知名科技博客媒体）报道了出售漏洞利用与监视工具的Hacking Team和Vitaliy Toropov（一名独立的漏洞开发者）之间的可疑联系后被发现的。有资料表明，Toropov曾试图将微软Silverlight的零日漏洞出售给Hacking Team。

该漏洞无法引起Hacking Team的兴趣，却引起了卡巴斯基的注意。

据安全公司卡巴斯基的说法，研究表明Toropov是一个活跃的开源漏洞数据库（OSVDB）贡献者，2013年时，他曾发表了描述了Silverlight的漏洞的POC报告（只是证据，证明该漏洞存在，但并不是利用方法，无法直接利用）。

卡巴斯基公司说，通过分析，代码中的一些独特的串脱颖而出，充当了公司检测技术的样本冲刷了利用该漏洞实施网络攻击的痕迹。

卡巴斯基公司称：“如果Toropov曾经试图出售零日漏洞给Hacking Team，那么他也极有可能对其他间谍软件厂商做了同样的事”。 “作为这次活动的结果，其他的网络间谍活动可以积极地使用该漏洞去攻击、感染不知情的受害者。”

结果，卡巴斯基其中一家客户被代码攻击，经过卡巴斯基对攻击进行分析，发现有人利用了Silverlight中的未知漏洞，并随后将这个问题报告给微软。

Costin Raiu，卡巴斯基实验室的全球研究和分析团队主任说：“虽然我们不知道我们发现的这个漏洞，是否正是被Ars Technica的文章中提到的，但是我们有充分的理由相信它确实是相同的。”

对比Vitaliy Toropov前期的作品，我们发现最新的漏洞发掘者与以Toropov名义发表的关于OSVDB的POC报告的是同一个人。同时，我们也不能完全排除我们发现了又一个Silverlight零日漏洞的可能性。

1月12日星期二，针对CVE-2016-0034漏洞，微软已经发布了最新的补丁，2016年微软Windows用户必须尽快去更新他们的系统了。

*原文： ZDNet ,编译/晶颜123，转载须注明来自FreeBuf黑客与极客（FreeBuf.COM）

原文 http://www.freebuf.com/articles/93184.html

正文到此结束