Microsoft XML 2.0 Core Services Vulnerability Patch

Təsvir

Microsoft XML Əsas Xidmətləri (MSXML) brauzerdə göstərilən veb səhifələrə POST, GET və PUT kimi HTTP əməliyyatları vasitəsilə XML məlumatlarını göndərməyə və ya qəbul etməyə imkan verən XMLHTTP ActiveX nəzarətini ehtiva edir. İdarəetmə veb səhifələri məhdudlaşdırmaq üçün nəzərdə tutulmuş təhlükəsizlik tədbirləri təmin edir ki, onlar yalnız uzaq məlumat mənbələrindən məlumat tələb etmək üçün idarəetmədən istifadə edə bilsinlər.

XMLHTTP nəzarətinin IE təhlükəsizlik zonası parametrlərini veb saytından məlumat sorğusuna cavab olaraq qaytarılan yönləndirilmiş məlumat axınına necə tətbiq etməsində qüsur mövcuddur. Zəiflik ona görə baş verir ki, təcavüzkar bu qüsurdan istifadə etməyə və istifadəçinin yerli sistemində olan məlumat mənbəyini təyin edə bilər. Təcavüzkar bundan sonra yerli sistemdən məlumatı təcavüzkarın veb saytına qaytarmaq üçün istifadə edə bilər. Təcavüzkar bu zəiflikdən istifadə etmək üçün istifadəçini nəzarəti altında olan sayta sövq etməli olacaq. Ondan HTML e-poçtu ilə istifadə edilə bilməz. Bundan əlavə, təcavüzkar oxumağa çalışacağı istənilən faylın tam yolunu və fayl adını bilməlidir. Nəhayət, bu boşluq təcavüzkarlara məlumat əlavə etmək, dəyişdirmək və ya silmək imkanı vermir.