Outlook Express MHTML protokoll kezelő sérülékenysége

CH azonosító

CH-6

Felfedezés dátuma

2004.04.07.

Súlyosság

Magas

Érintett rendszerek

Microsoft
Outlook
Windows 2000
Windows 98
Windows Millenium
Windows NT
Windows Server 2003
Windows XP

Érintett verziók

Microsoft Windows XP 32-bit, SP1, 64-bit, 64-bit SP1
Microsoft Windows Server 2003 32-bit, 64-bit
Microsoft Windows 2000 SP2 - SP4
Microsoft Windows NT 4.0 SP6, SP6a
Microsoft Windows 98 , SE
Microsoft Windows Millenium
Microsoft Outlook 5.5 SP2, 6, 6 SP1

Összefoglaló

Egy cross-domain sérülékenység az Outlook Express “MIME Encapsulation of Aggregate HTML Documents” (MHTML) protokoll kezelőjében lehetővé teszi, hogy egy támadó tetszőleges kódot futtasson a kezelőt indító felhasználó jogosultságaival. A támadó más tartományban és zónában található weboldal adatait is módosíthatja.

Leírás

Az Outlook Express “MIME Encapsulation of Aggregate HTML Documents” (MHTML) protokoll kezelő egy cross-domain sérülékenységét jelentették.

Az MHTML kezelő helytelenül kezeli az alternatív helyeken található fájlokat, mintha ugyan abban a tartományban lennének, mint a “nem elérhető” fájl. A WebBrowser ActiveX vezérlőt vagy az IE HTML megjelenítő motorját (MSHTML) használó programok érintettek.

Amennyiben egy áldozatot megnyit egy rosszindulatú HTML dokumentumot (pl. weboldalt vagy HTML formátumú levelet) egy távoli támadó a dokumentumot tartalmazótól eltérő tartományban scripteket futtathat vagy hozzáférhet az ott lévő adatokhoz.

A támadó tetszőleges scriptet futtathat a Local Machine (Helyi számítógép) zónában az MHTML kezelőt meghívó felhasználó jogosultságaival. A támadó más weboldalak adatait is olvashatja és módosíthatja (cookie-k olvasását és írását beleértve).

Megoldás

Telepítse a javítócsomagokat

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2014-3931 – Multi-Router Looking Glass (MRLG) Buffer Overflow sérülékenysége
CVE-2016-10033 – PHPMailer Command Injection sérülékenysége
CVE-2019-5418 – Rails Ruby on Rails Path Traversal sérülékenysége
CVE-2019-9621 – Synacor Zimbra Collaboration Suite (ZCS) Server-Side Request Forgery (SSRF) sérülékenysége
CVE-2016-4484 – Linux sérülékenység
CVE-2025-32463 – Linux sérülékenység
CVE-2025-32462 – Linux sérülékenység
CVE-2025-6463 – Wordpress sérülékenység
CVE-2024-51978 – Brother sérülékenység
Tovább a sérülékenységekhez »