微软原本以为羊群是安全的，现在只能匆忙补牢。
【IT专家网独家】微软的安全团队于周三承认，公司早在2005年的时候知道其Jet数据库引擎中存在漏洞，但由于公司自以为已经成功封锁了明显的攻击媒介，所以并没有为这个问题打上补丁。Jet数据库引擎是Windows的一个核心组分，为微软的Access和Visual Basic等应用软件提供数据访问。
赛门铁克公司的一名研究员表示，微软早在几年前就应该修复这些漏洞。
微软安全研究中心(简称MSRC)的运营主管Mike Reavey在MSRC博客上发表的一篇告示中承认外部的研究人员曾经分别在2005年和2007年向微软报告了在Jet数据库引擎中发现的漏洞。在这两次漏洞事件中，微软都告诉发现漏洞的研究人员他们不会修补这些漏洞，因为他们认为用户很安全。Reavey在解释微软所做的这些决定时称，Outlook可以阻止打开.mdb类型文件，当用户点击此类文件时，交换服务器会将它们从传入的电子邮件清除掉，而浏览器也会发出警告。
但是，微软没有预料到现在黑客利用这些漏洞所采取的攻击策略。他们发现了新的攻击媒介，能够让攻击者通过打开一份Word文档加载MDB文件;于是一切都为时已晚，以前的一些安全指示无法对抗这种新式的攻击手段。这也是微软为什么要警告客户这类攻击的发生，并重新对Jet解析漏洞进行调查。微软在解释中称，他们以前确实不知道这种新发现的攻击媒介。
赛门铁克公司的研究人员表示，在上周他们公布了他们所发现的漏洞和攻击，促使微软对在Windows 2000、XP和Server 2003 SP1上运行Word的用户发布安全警告，并采取防御措施时，攻击者还在手忙脚乱的对付Outlook。微软本来可以更早采取措施修补该漏洞防止这种突发事件的发生的。赛门铁克的安全反应小组的主管Oliver Friedrichs表示，过去微软产品类似的安全问题已经发生国无数次了，显然微软本应该在一开始就对这些安全问题投入更多的关注;而对于这个漏洞，已经分别在2005年和2007年两次出现了问题，而两次都没有得到修补，现在终于引起微软的重视了。
微软的安全研究中心还在研究如何修补这个漏洞，或者对这个已经知道是通过恶意Word文档发动的攻击安置更多的壁垒。微软可能会设法在不提示用户的情况下阻止这些文档加载.mdb文件，或者为更新版本的Jet数据库引擎(目前已经嵌入到Windows Vista、Windows Server 2003 SP2，并预计会在Windows XP SP3中使用)添加补丁进行修复。
IT专家网原创文章，未经许可，严禁转载！
