Этот патч устраняет уязвимость в компоненте, который поставляется с Microsoft Office 2000, Windows 2000, и Windows Me. Уязвимость может, при определенных обстоятельствах, позволить злоумышленнику получить криптографически защищенных учетные данные от другого пользователя при запросе документа Office, от веб-сервера.
Клиент веб-удлинитель (ВЭС) является компонентом, который поставляется как часть Управления 2000, Windows 2000 и Windows Me. ВЭС позволяет IE для просмотра и публикации файлов с помощью веб-папок, подобных просмотр и добавление файлов в каталоге с помощью Windows Explorer. Из-за недостатка реализации, ВЭС не уважать настройки IE безопасности относительно того, когда будет выполнена проверка подлинности NTLM. Вместо этого, ВЭС будет выполнять аутентификацию NTLM с любым сервером, который обращается с такой просьбой. Если пользователь установил сессию сайте вредоносной пользователя, либо при просмотре на сайт или открытия HTML почты, инициированный сеанс с ним, приложение на сайте может захватить NTLM учетные данные пользователя. Злоумышленник может затем использовать автономную атаку грубой силы, чтобы получить пароль или со специализированными инструментами, может представить вариант этих полномочий в попытке получить доступ к защищенным ресурсам.
Уязвимость бы только обеспечить злоумышленнику с криптографически защищен аутентификации NTLM учетные данные другого пользователя. Это не само по себе, позволить злоумышленнику получить контроль над компьютером другого пользователя или для получения доступа к ресурсам, к которым у разрешалось доступ. Для того, чтобы эффективно использовать NTLM учетные данные (или впоследствии трещины пароль), злоумышленник должен быть в состоянии удаленно заходить на целевой системе. Тем не менее, лучшие практики диктуют, что услуги дистанционного входа блокируется на пограничных устройств, и если за этими практика, они бы предотвратить злоумышленнику с помощью учетных данных для входа в целевой системе.
Часто задаваемые вопросы, касающиеся этой уязвимости можно найти здесь
Требования :.
Windows Me, Office 2000 НЕ установлен
Комментарии не найдены