旋转门厂家
免费服务热线

Free service

hotline

010-00000000
旋转门厂家
热门搜索:
行业资讯
当前位置:首页 > 行业资讯

Windows系列帮助功能漏洞严重可执行任意代码

发布时间:2020-02-03 05:03:05 阅读: 来源:旋转门厂家

日本微软于10月4日宣布,Windows帮助功能发现了新的安全漏洞。如果浏览的Web页面或HTML邮件中存在恶意使用该安全漏洞的程序的话,黑客就可能在用户的电脑上执行任意代码(程序)。该漏洞的严重等级为“高”,其对象包括全部的Windows OS,解决办法为安装补丁。

此次公布的与Windows帮助功能有关的安全漏洞包括如下两种:

(1)HTML Help ActiveX控件中的缓冲区溢出(Buffer Overrun);

(2)利用Compiled HTML Help(.chm)文件执行代码。

(1)和(2)的严重等级分别为“高”和“中”。(1)的原因在于Windows帮助功能所使用的某个ActiveX控件存在问题。如果收到被人做了手脚的参数,这个ActiveX控件就会造成缓冲区溢出。结果导致可执行任意代码,并控制用户终端。由于ActiveX控件能够通过HTML文件直接调用,因此只要浏览Web页面或HTML邮件,就会引起缓冲区溢出。

不过,如果在IE的安全设置中将ActiveX控件设置为无效,那么就不会受到该漏洞的影响。另外,Outlook Express 6和Outlook 2002,以及进行了安全升级的Outlook 98/2000由于其HTML邮件是在“受限站点区域”的设置被打开的,因此不会调用ActiveX控件。

(2)是与Windows帮助功能中的Compiled HTML Help(.chm)文件的处理有关的安全漏洞。.chm文件是将文本、图像和快捷方式等统一压缩而成的一个帮助文件。

通常情况下,在运行由Web站点上下载并保存到“Temporary Internet Files(临时因特网文件)”文件夹中的文件时,都会使用对该Web站点来说较安全的设置(比如,因特网区域)。但是,运行.chm文件时,由于Windows帮助功能的不完善,就会使用与运行本地文件时相同的“Local Computer(本地计算机)区域”。

另外,还有一个问题。这就是不知道在Temporary Internet Files文件夹中保存的是什么文件。因此,在利用快捷方式,由该文件夹中的.chm文件来调用程序时,完全应该进行检查,以便防止执行任意程序。但是实际上却没有这种检查功能。

如果恶意使用以上两个漏洞,那么先在Web站点上放入嵌入了快捷方式的.chm文件,再让用户下载,然后如果运行保存在Temporary Internet Files文件夹中的这个.chm文件,结果就可能会在用户电脑上执行任意程序。

但是,据美国微软介绍,攻击者运行保存在Temporary Internet Files文件夹中的.chm文件是非常困难的。假如可以运行该文件,那么就应该算作是一个安全漏洞。但该公司表示目前还不存在这样的安全漏洞。因此将(2)的严重等级定成了“中”。

为了消除(1)和(2)的安全漏洞,需要安装补丁。而要想安装补丁,就必须在系统中安装IE 5.01/5.5/6中的任一版本。另外,在Windows NT 4.0中则必须安装SP6,在Windows 2000中则必须安装SP1或SP2。

微软同时还公布了其他3种安全漏洞:

(a)“MS02-054:利用文件解压缩功能中包含的未经检查的缓冲器,执行代码(Q323284)”;

将受此漏洞影响的是Windows XP、Windows Me以及安装Microsoft Plus! 98的Windows 98。由于在象处理文件夹那样来处理压缩文件(.zip文件)的文件解压缩(Compressed Folders)功能中存在安全漏洞,因此如果解压缩被人做了手脚的.zip文件,那么就可能在用户机器上执行任意代码。严重等级为“中”。

(b)“MS02-056:SQL Server的累积补丁程序 (Q316333)”;

受此漏洞影响的有SQL Server 7.0/2000和Desktop Engine (MSDE) 1.0/2000。严重等级为“高”。这是一个包含最新公布的4种安全漏洞的累积补丁程序。

(c)“MS02-057: Services for Unix 3.0 所包含的Interix SDK出现拒绝服务问题(Q329209)”;

受此漏洞影响的对象是Services for UNIX (SFU) 3.0(英语版)。严重等级为“中”。另外,目前公布的Windows Services for UNIX 3.0日语测试版中已经对此做出了修正。

建议以上3种安全漏洞所涉及的用户也务必对有关设置加以确认。

佐佐木绘奈

热门女优资讯

波多野结衣作品

桃乃木香奈资料

相关阅读