Microsoft Security Bulletin MS04-023
13 July 2004 Vulnerability in HTML Help Could Allow Code Execution
เรียบเรียงโดย : ดร. บรรจง หะรังษี

กล่าวนำ

ไมโครซอฟท์ได้ประกาศแจ้งเตือนช่องโหว่จำนวน 2 ช่องโหว่ โดยช่องโหว่แรกคือ ช่องโหว่ใน HTML Help ช่องโหว่ที่สอง คือ ช่องโหว่ใน showHelp ซึ่งทำให้ผู้บุกรุกสามารถสั่งรันโปรแกรมบนเครื่องที่ไม่ได้รับการอุดช่องโหว่นี้ ส่วนสาเหตุของช่องโหว่ไม่ได้มีการกล่าวไว้อย่างชัดเจน

ถ้าผู้ใช้งานเครื่องคอมพิวเตอร์ที่มีช่องโหว่ดังกล่าวล็อกอินภายใต้สิทธิของผู้ดูแลระบบ การจู่โจมโดยใช้ช่องโหว่นี้อาจทำให้ผู้บุกรุกสามารถควบคุมเครื่องคอมพิวเตอร์ไว้ได้ทั้งหมด ได้แก่ การติดตั้งโปรแกรมใหม่เข้าไป การดู การเปลี่ยนแปลง หรือการลบข้อมูลต่างๆ ที่อยู่ในเครื่องคอมพิวเตอร์ รวมทั้งการสร้างบัญชีผู้ใช้ขึ้นมาใหม่ ผู้ใช้งานที่ล็อกอินภายใต้สิทธิที่ต่ำกว่าผู้ดูแลระบบจะมีความเสี่ยงน้อยกว่าที่จะถูกจู่โจมโดยใช้ช่องโหว่นี้

ผลกระทบของช่องโหว่นี้

ผู้บุกรุกสามารถสั่งรันโปรแกรมบนเครื่องคอมพิวเตอร์ที่ไม่ได้รับการอุดช่องโหว่นี้

ระดับความรุนแรง

สูงสุด (Critical)

ระบบปฏิบัติการที่ได้รับผลกระทบและต้องติดตั้งโปรแกรมอุดช่องโหว่

• Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 Service Pack 3, Microsoft Windows 2000 Service Pack 4 - ดาวน์โหลดจากลิ้งก์นี้
• Microsoft Windows XP and Microsoft Windows XP Service Pack 1 - ดาวน์โหลดจากลิ้งก์นี้
• Microsoft Windows XP 64-Bit Edition Service Pack 1 - ดาวน์โหลดจากลิ้งก์นี้
• Microsoft Windows XP 64-Bit Edition Version 2003 - ดาวน์โหลดจากลิ้งก์นี้
• Microsoft Windows Server^TM 2003 - ดาวน์โหลดจากลิ้งก์นี้
• Microsoft Windows Server 2003 64-Bit Edition - ดาวน์โหลดจากลิ้งก์นี้
• Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE), and Microsoft Windows Millennium Edition (Me) - Review the FAQ section of this bulletin for details about these operating systems
  

ระบบปฏิบัติการที่ไม่ได้รับผลกระทบ

• Microsoft Windows NT® Workstation 4.0 Service Pack 6a
• Microsoft Windows NT Server 4.0 Service Pack 6a
• Microsoft Windows NT Server 4.0 Terminal Server Edition Service Pack 6
  
  

คอมโพเน้นท์ที่ได้รับผลกระทบและต้องติดตั้งโปรแกรมอุดช่องโหว่

• Internet Explorer 5.5 Service Pack 2 or Internet Explorer 6.0 Service Pack 1 when installed on Windows NT 4.0 (Workstation, Server, or Terminal Server Edition) - ดาวน์โหลดจากลิ้งก์นี้
  

วิธีแก้ไขปัญหา

ให้ติดตั้งโปรแกรมอุดช่องโหว่ตามข้อมูลข้างต้น

หากท่านพบเห็นข้อผิดพลาดหรือมีคำแนะนำ โปรดส่งข้อความของท่านมาที่ thaicert@nectec.or.th ท่านสามารถดาวน์โหลด PGP Public Key ของ ThaiCERT ได้ ในกรณีที่ต้องการเข้ารหัสอี-เมล์