|
CCERT编号:CCERT-2002-12
公告编者 : zln
发布时间: 2002-2-25,9:30
最后一次更新时间: 2002-2-25,9:44
公告来源: 微软安全公告
详细描述:
Microsoft XML Core Services(MSXML)中包含了这个XMLHTTP ActiveX控件，它能让浏览器中
的网页通过http操作如post,get和put发送或接收xml数据.这个控件提供了限制网页的安全措施以
至于网页只能利用这个控件从远程数据源获得数据。
当这个xmlhttp控件将IE安全区的设置应用到作为一个响应某个网站数据请求而重定向的数据
流时，存在一个纰漏。当攻击者发现这个纰漏并且能够指定一个用户本地系统上的数据源之后，本
地系统就会产生脆弱性。攻击者就会利用这点从本地系统上窃取信息到攻击者的网站上。
攻击者为了利用这个脆弱性，必须怂恿用户去访问一个他控制下得网站。这个脆弱性对于
HTML email这种格式无效。另外，攻击者还必须知道他想读的文件的完全路径和文件名。最后，
攻击者并不能利用这个脆弱性增加，更改或删除数据。
影响系统:
- Internet 系统：风险级别 中等
- Intranet 系统：风险级别 中等
- 客户端系统： 风险级别 严重
风险:高
危害描述:
- 这个脆弱性只能通过网站而被攻击者利用。而不会影响通过HTML mail传输的数据；
- 攻击者为了窃取文件必须知道文件的完全路径和文件名
解决方案:
有一个补丁可以修复这个脆弱性。请阅读安全公告获得补丁信息
补丁handle:
http://www.microsoft.com/technet/security/bulletin/ms02-008.asp
参考连接:
http://www.microsoft.com/technet/security/bulletin/ms02-008.asp
|
