微软拒绝修复32位IE漏洞

惠普安全专家Dustin Childs近日披露了一个影响数百万的32位Windows系统的IE漏洞。这是一个基于ASLR（地址空间布局随机化）的IE漏洞，ASLR是一种针对缓冲区溢出的安全保护技术，它会将应用程序或操作系统的地址空间随机化，阻止针对某个内存位置的利用。据研究人员统计，该漏洞影响数百万的32位win系统，应该及时修复。然而，微软似乎并不打算修复漏洞，虽然他们为此支付了12.5万美元。

漏洞描述（含POC）

微软已经明确表示不会修复这个漏洞，基于这个原因，惠普研究人员决定将细节公众于众。POC：https://github.com/thezdi/abusing-silent-mitigations

Childs表示：

“在今天Montreal的会RECon会议上，因为收到了微软不会修复该ALSR漏洞的消息，惠普团队公布了它的细节。同时他们也发布了一个关于攻击细节的白皮书，其中包括对默认IE配置的修改攻击，以及对IE防护提升的建议。

因为微软觉得这个问题不影响IE的默认配置，不会影响大量的用户，所以他们觉得没必要花力气修复，也不存在潜在风险。

当然，我们并不同意这个观点。经过慎重考虑，在社区放出来POC，提醒大家做出正确的IE配置更迭。我们挖漏洞和厂商交涉的生涯差不多快10年了，这种事也不是第一次了，厂商不解决问题让我们也很头疼。”

Childs通过惠普的0day平台披露了Windows 7和Windows 8.1的POC，下面是视频：

原Youtube视频地址：https://youtu.be/9fdnnoUixE0

Childs也确认这个ASLR漏洞只影响32位平台，波及的用户大概有几百万，他表示：

“你可以把它当作影响MemoryProtection的外因，MemoryProtection只能遏制一部分UAF（使用后释放）漏洞。但是遏制无足轻重的ASLR漏洞比得上修补UAF漏洞的意义么？在微软看来是这样的，IE中仍然存在UAF漏洞。而ASLR漏洞的存在，会让IE成为一个待宰的肥羊。”

不修复的理由

微软决定不修复该漏洞的原因有两点：1.将来的趋势都是64位的IE 2.MemoryProtect会让IE漏洞数量下降