|
2002年3月28日 微软发布今年第15号安全公告
公告页面[英文]
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS02-015.asp
公告所提及的补丁程序的页面
http://www.microsoft.com/windows/ie/downloads/critical/Q319182/default.asp
相关补丁
IE6.0
http://download.microsoft.com/download/IE60/secpac26/6/W98NT42KMeXP/CN/q319182.exe
IE5.5 sp2
http://download.microsoft.com/download/ie55sp2/secpac26/5.5_sp2/WIN98Me/CN/q319182.exe
IE5.5 sp1
http://download.microsoft.com/download/ie55sp1/secpac26/5.5_sp1/WIN98Me/CN/q319182.exe
IE5.01 sp2
http://download.microsoft.com/download/ie501sp2/secpac26/5.01_sp2/W982KNT4/CN/q319182.exe
公告的中文翻译
发布日期：2002-3-28
安全威胁：危险
CVE CAN ID：CAN-2001-0070
受影响系统:
Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 6.0
漏洞描述：
这个累计补丁程序中包含两个新的漏洞补丁。
1、一个漏洞存在与区域判断函数中，这个函数允许cookie中嵌入的脚本载计算机本地区域运行。当HTML脚本存储在cookie中后，它们就能把本地区域作为一个主机同互联网区域相连。攻击者可以把脚本放置在cookie中，然后被存储到用户硬盘里，就能获得少许的限制权利。（CAN-2002-0078 ）
2、另一个漏洞能让攻击者在用户禁止执行文件情况下获得执行权。攻击者可以创建一个网页包含对象（object）标签，然后让一个用户的本地程序执行。（CAN-2002-0077）
缓解因素：
cookie脚本执行漏洞：
1、脚本能够以用户一样的权限运行。攻击者能够获得的权限依靠用户的权限。任何用户帐号上的限制都能够限制这个漏洞产生的脚本执行行为的权限
通过对象标签执行本地程序漏洞：
1、这个漏洞不能让攻击者传递任何参数给程序。在WINDOWS默认安装的程序中，不提供参数的程序几乎不能威胁到计算机安全
2、攻击者只能执行用户本地计算机中的程序，而不能运行远程共享中的或者网站上的文件。
3、这个漏洞不会让攻击者放置任何程序到用户计算机中
4、攻击者需要知道用户本地计算机中的程序名称以及路径才能够执行
5、Outlook 98 和 2000 ，Outlook 2002 以及 Outlook Express 6 都不会受到邮件攻击。
解决方案：
微软已经为此发布了一个安全公告（MS02-015）以及相应补丁程序： http://www.microsoft.com/technet/security/bulletin/MS02-015.asp
补丁下载：
http://www.microsoft.com/windows/ie/downloads/critical/Q319182/default.asp
in/ms02-009.asp
|
