微軟 JPEG 漏洞

微軟在 Windows XP SP2 裏，最重要的一個更新大概是稍早於 Microsoft 安全性公告 MS04-028 所提出的安全性漏洞：「 JPEG 處理程序 (GDI+) 中的緩衝區滿溢可能允許程式碼執行 (833987) 」了。這個漏洞相當可怕，因為一般說來人們並不認為圖片檔會有感染病毒或從事破壞行為的可能，但是從 Slashdot IT 版所報導的 First JPEG Virus Posted To Usenet 一文中，我們可以看到現在有心人士可以把惡意程式碼嵌入 JPEG 圖檔，然後吸引妳去瀏覽；在妳瀏覽圖片的同時，就會觸發惡意程式碼，在妳的系統上安裝後門，「感染」其他 JPEG 圖片並通知幕後的黑手。（請至 http://www.easynews.com/virus.html 檢視更多技術／實做細節）而其影響的層面，幾乎囊括了微軟的所有作業系統及應用程式。

不過更可怕的地方在於，這個漏洞其實早在兩年前就被提出來懷疑過了。根據新華網的報導， McAfee 早在 2002/06/13 就向媒體報導了這個名為 W32/Perrun 的 JPEG 病毒了（註：雖然這個病毒並非真的使用了這次的 GDI+ 漏洞）。從發現這個病毒，到微軟終於承認公布此漏洞並釋出更新程式，隔了整整兩年，而且微軟也祇願意修補 Windows XP 跟 Windows Server 2003 系列的產品，對於其他版本的使用者根本就是不聞不問。（有此一說，是因為微軟內部所有的工程師現在都在趕工下一個版本的作業系統， Longhorn ）

之所以這個漏洞整整兩年無法被發現、驗證、補綴、即使到了今日仍有多數使用者暴露在其危險下，我們不得不說這都是因為 Windows 是一套封閉源碼的作業系統。其程式碼無法受到眾多程式設計師的審視檢閱，也無法取得來自各界的補綴維護；事實上微軟根本就禁止妳做這些事。而這就是使用所謂主流軟體的下場：連自救的權利、機會都沒有，實在是可悲至極。