Ta poprawka eliminuje lukę w zabezpieczeniach komponentu, że statki z pakietu Microsoft Office 2000, Windows 2000 i Windows Me. Luka ta może, w pewnych okolicznościach, umożliwia złośliwemu użytkownikowi uzyskanie poświadczenia logowania kryptograficznego chronione od innego użytkownika podczas żądania dokumentu pakietu Office z serwera WWW.
Web Extender Client (WEC) jest składnikiem, że statki w ramach Urzędu 2000, Windows 2000 i Windows Me. WEC pozwala IE do przeglądania i publikowania plików za pomocą folderów sieci Web, podobnych do przeglądania i dodawania plików w katalogu za pomocą Eksploratora Windows. Ze względu na wadę realizacji, WEC nie przestrzega ustawień dotyczących zabezpieczeń IE, gdy NTLM będą wykonywane. Zamiast tego, WEC wykona uwierzytelniania NTLM z dowolnym serwerem, który zażąda. Jeśli użytkownik utworzył sesję z strony internetowej szkodliwego użytkownika, albo przechodząc do serwisu lub do otwarcia wiadomości HTML, który zainicjował sesję z niego, aplikacja na miejscu może przechwycić poświadczenia NTLM użytkownika. Złośliwy użytkownik może wtedy korzystać offline brute-force ataku w celu uzyskania hasła lub z wyspecjalizowanych narzędzi, może przedstawić wariant tych poświadczeń w próbie uzyskania dostępu do chronionych zasobów.
Luka zapewni tylko szkodliwy użytkownik z kryptograficznego chronione poświadczenia uwierzytelniania NTLM innego użytkownika. To nie samo w sobie umożliwia złośliwemu użytkownikowi na przejęcie kontroli nad komputerem lub innego użytkownika, aby uzyskać dostęp do zasobów, do których dany użytkownik został autoryzowany dostęp. Aby wykorzystać poświadczenia NTLM a następnie (lub pęknięty hasło), szkodliwy użytkownik będzie musiał być w stanie zdalnie zalogować się do systemu docelowego. Jednak najlepsze praktyki stanowią, że usługi zdalnego logowania zostać zablokowane w urządzeniach granicznych, a jeśli te praktyki były przestrzegane, to oni uniemożliwić intruzom przy użyciu poświadczeń, aby zalogować się do systemu docelowego.
Najczęściej zadawane pytania na temat tej luki można znaleźć tutaj
Wymagania .
Windows Me, Office 2000 nie jest zainstalowany
Komentarze nie znaleziono