張貼日期：Nov 26, 2014 12:26:38 AM

本次 Windows 發佈了一個重大更新，旨在修補 Windows 系統安全通道存在的漏洞 Winshock，嚴重程度可比 Hearbleed 和 Shellshock

影響範圍：Windows Vista SP2、Windows Server 2003 SP2 以後所有 Windows 作業系統

嚴重程度：★★★☆☆

影響層面：駭客可以透過特製的問題封包在此漏洞中遠端執行和使用惡意程式碼，並藉此漏洞入侵系統。

攻擊程度：漏洞對外正式公開時間為 11/11 日。由於攻擊方式並未公開，因此目前尚未傳出遭受攻擊事件。

新聞網址：請點我

可手動下載更新檔案修復，或使用 Windows Update 下載更新。

更新連結：請點我

請學校資訊老師轉知校內老師，手動下載更新檔案修補或開啟 Windows Update 更新系統！

以下為新聞內文

Windows安全通道驚爆漏洞Winshock，衝擊可比Hearbleed和Shellshock

Windows安全通道漏洞驚報漏洞，微軟日前發布列為重大等級的MS14-066資訊安全公告，揭露了潛藏在Windows安全通道（Secure Channel，Schannel）中的漏洞CVE-2014-6321，影響產品包括了微軟個人端和伺服器端的作業系統產品。

駭客可以透過特製的問題封包在Windows安全通道中遠端執行和使用惡意程式碼，並藉此漏洞入侵系統。Windows安全通道是落實Windows SSL/TLS協定的元件之一，這個在安全通道中的臭蟲Winshock就像是OpenSSL的網路臭蟲Heartbleed，因此，這個CVE-2014-6321安全漏洞又稱為Winshock漏洞。受影響的微軟產品包括了個人端作業系統Windows Vista SP2、Windows 7 SP1、Windows 8到Windows 8.1，以及伺服器作業系統Windows Server 2003 SP2、2008 SP2、2008 R2 SP1、2012到2012 R2。另外還包括了微軟平版Windows RT和Windows RT 8.1。微軟已釋出更新。

此外，與之前的Hearbleed和Shellshock漏洞不同的是，微軟並沒有發布Winshock漏洞的修補原始碼，只在資安公告中給予該漏洞一個常見漏洞揭露（Common Vulnerabilities and Exposures，CVE）的號碼CVE-2014-6321。

不過，在思科Talos安全情報和研究團隊的部落格中卻表示，MS14-066涉及一個常見漏洞揭露CVE-2014-6321，該漏洞在微軟Windows安全通道中的安全封包，同時也涉及了提供應用程式的安全協定支援，雖然該漏洞是單一的CVE，但是實際上卻包含了多個漏洞，範圍廣從緩衝區到憑證驗證。

Rapid7資深資安工程經理Ross Barrett表示，目前CVE-2014-6321漏洞的影響還不大，但是如果攻擊代碼洩漏，該漏洞將會成為嚴重的問題，且影響會擴大。

目前，微軟也尚未接到有關該漏洞已公開用來攻擊用戶的消息，而微軟在官網也表示，此資安更新可以修正安全通道清理特製封包的方式，進而消除此項資安風險。