我爱电脑技术论坛 » 电脑综合区 » uusee出现漏洞 官方三项补救措施无一合理

star2008 发表于 2008-6-19 14:09

uusee出现漏洞 官方三项补救措施无一合理

一、事件回放： 8VT9s&^&N6o!KXyuG:?

)p ?@$H \F_ s 6月16日，数据安全实验室在畅游巡警用户举报的木马中，发现了利用uusee的高危0day漏洞，并在第一时间把木马样本和技术分析资料提交给uusee官方。 6D)}$b8lHL%Ye-k
J7MI)?pi5y
6月17日，uusee官方发布漏洞声明。在声明中仓促的宣布漏洞威胁已解决，而实际上声明中除了百般的推脱责任外，三项实质性的补救措施竟无一合理： Vlr^4Z

)oA4eNT6T_m3uO 其一、软件出现漏洞后，竟没有发布紧急升级补丁和使用强制升级，而是要求全体uusee2008用户重新下载安装新版本，同时漏洞信息公开很不通明，绝大多数UUsee户蒙在鼓里。 4Y R}%Ec8u)Q_:}"C~
w:U*ix3K_ VR
依据超级巡警团队的测试发现网上大多数UUsee下载站，到目前为止依然没有把UUsee更新到最新版本，并且在UUsee软件界面上根本没有任何威胁提示。登陆UUsee官方网站，同样看不到任何有关漏洞的预警提示信息。这样等于把绝大多数不知情的uusee用户完全暴露在危险当中。uusee控件0day属于高危漏洞，可以在后台自动下载任何病毒和木马，对用户群庞大的uusee用户将造成巨大的损失。 !KL0DxoY

H@H;Kl/oyv 其二、曲解微软数字签名的含义，给用户带来严重误导。 L/O_I5`)n
D1l:oR l8b t4\0M
UUSee官方的在漏洞声明中强调禁用“已下载的没有微软签名的ActivX控件”，就可以保证用户安全。而事实上包含微软数字签名只能代表文件出自软件官方。换换句话说，包含有微软数字签名并不能代表软件中没有漏洞。而讽刺的是UUSee2008出现漏洞的那个dll就包含有微软的数字签名。
];UZoTX&F
I"u5]K#G
$s o2z9K9Y,Kh@2sph 其三、开国际玩笑，推荐用“卡巴斯基”打补丁。
kLB#g,`:c7~V
X!D}
J/X y4e UUsee在官方漏洞声明中包含一个用卡巴斯基扫描自己的截图，以证明自己发布新版本没有漏洞。有一点安全常识的网友都了解，卡巴斯基是一款杀毒软件，不具备漏洞扫描功能，也不能下载漏洞补丁，而uusee官方在漏洞声明中赫然写着推荐用卡巴斯基下载补丁。
"f&L,o} ]
8_Q~pydxM 二、数据安全实验室推荐解决方案：
H%u4gkm~,o,z'J &a:H hg!vR TxF
1、下载使用超级巡警安装uusee临时漏洞补丁，或者安装畅游巡警防御利用uusee漏洞的木马.
)b8Ro+CNTg n-A*B9^Q-U8y5v
2、直接卸载UUsee，安装QQlive等其他网络电视。
QJ6N/g9G8`;j
O
3T]
s@3idqQ 三、总结：
:R6RV^-pv'P0cV*@Ee
LbDt1g 近期，uusee网络电视获得了央视颁布的悠视网经正式授权，成为指定奥运赛事P2P直播媒体。而从08年安全信息界的种种迹象表明，奥运会期间的网络安全问题不容懈怠。希望uusee官方能够正视问题，积极解决。

查看完整版本: uusee出现漏洞 官方三项补救措施无一合理