Microsoft XML 4.0 Core Services Vulnerability Patch

Opis

Microsoft XML Core Services (MSXML) zawiera kontrolkę XMLHTTP ActiveX, która umożliwia renderowanie stron internetowych w przeglądarce w celu wysyłania lub odbierania danych XML za pośrednictwem operacji HTTP, takich jak POST, GET i PUT. Kontrola zapewnia środki bezpieczeństwa zaprojektowane w celu ograniczenia stron internetowych, aby mogły używać kontroli tylko do żądania danych ze zdalnych źródeł danych. Istnieje luka w sposobie, w jaki formant XMLHTTP stosuje ustawienia strefy bezpieczeństwa IE do przekierowanego strumienia danych zwróconego w odpowiedzi na żądanie danych ze strony internetowej. Luka występuje, ponieważ osoba atakująca może próbować wykorzystać tę lukę i określić źródło danych znajdujące się w systemie lokalnym użytkownika. Atakujący może następnie wykorzystać to do zwrócenia informacji z systemu lokalnego do witryny internetowej atakującego. Aby wykorzystać tę lukę, osoba atakująca musiałaby zwabić użytkownika do witryny znajdującej się pod jego kontrolą. Nie można go wykorzystać przez pocztę HTML. Ponadto atakujący musiałby znać pełną ścieżkę i nazwę każdego pliku, który próbowałby odczytać. Wreszcie, luka ta nie daje osobie atakującej możliwości dodawania, zmieniania lub usuwania danych.