Microsoft XML 2.0 Core Services Vulnerability Patch

Deskrizzjoni

Microsoft XML Core Services (MSXML) jinkludi l-kontroll ActiveX XMLHTTP, li jippermetti li l-paġni tal-web jirrendu fil-browser biex jibagħtu jew jirċievu data XML permezz ta’ operazzjonijiet HTTP bħal POST, GET, u PUT. Il-kontroll jipprovdi miżuri ta' sigurtà mfassla biex jirrestrinġu l-paġni tal-web sabiex ikunu jistgħu jużaw il-kontroll biss biex jitolbu dejta minn sorsi ta' dejta remoti.

Teżisti difett fil-mod kif il-kontroll XMLHTTP japplika s-settings taż-żona tas-sigurtà tal-IE għal fluss tad-dejta ridirezzjonat lura bi tweġiba għal talba għal dejta minn sit tal-web. Tirriżulta vulnerabbiltà minħabba li attakkant jista' jfittex li jisfrutta dan id-difett u jispeċifika sors tad-dejta li jinsab fis-sistema lokali tal-utent. L-attakkant jista 'mbagħad juża dan biex jirritorna informazzjoni mis-sistema lokali lill-websajt tal-attakkant. Attakkant ikollu jħajjar lill-utent għal sit taħt il-kontroll tiegħu biex jisfrutta din il-vulnerabbiltà. Ma jistax jiġi sfruttat bl-email HTML. Barra minn hekk, l-attakkant ikollu jkun jaf il-mogħdija sħiħa u l-isem tal-fajl ta 'kwalunkwe fajl li jipprova jaqra. Fl-aħħarnett, din il-vulnerabbiltà ma tagħti l-ebda kapaċità lill-attakkant li jżid, jibdel jew iħassar id-dejta.