|
Microsoft
Security Bulletin MS05-014
08 February 2548 Cumulative Security Update for Internet Explorer
(867282)
เรียบเรียงโดย : ดร. บรรจง
หะรังษี
กล่าวนำ
ไมโครซอฟท์ได้ประกาศแจ้งเตือนช่องโหว่ที่เกิดขึ้นในเว็บบราวเซอร์
Internet Explorer (IE) จำนวน 4 ช่องโหว่ ช่องโหว่เหล่านี้อาจเป็นผลให้ผู้บุกรุกสามารถสั่งรันโค้ดได้จากระยะไกลเข้ามา
ช่องโหว่ทั้งสี่นี้สามารถอธิบายโดยย่อดังนี้
- Drag and Drop Vulnerability - CAN-2005-0053
ช่องโหว่นี้เกิดจากปัญหาของเทคโนโลยี Drag-and-Drop ที่ IE เรียกใช้งาน
- URL Decoding Zone Spoofing Vulnerability -
CAN-2005-0054
ช่องโหว่นี้เป็นช่องโหว่ที่เกิดขึ้นจากการที่ IE ไม่สามารถจัดการกับ
URL ที่ถูกเข้ารหัสไว้ได้อย่างถูกต้อง
- DHTML Method Heap Memory Corruption Vulnerability
- CAN-2005-0055
ช่องโหว่นี้เป็นช่องโหว่ที่เกิดขึ้นจาก DHTML Method ซึ่งเป็นฟังก์ชันที่
IE เรียกใช้งานเพื่อจัดการกับเว็บเพจแบบไดนามิก
- Channel Definition Format (CDF) Cross Domain
Vulnerability - CAN-2005-0056
ช่องโหว่นี้เกิดจากปัญหาของไฟล์ CDF (Channel Definition Format)
ซึ่งเป็นไฟล์ที่ใช้สำหรับจัดโครงสร้างของเว็บเพจที่มีความเกี่ยวข้องกัน
IE เรียกใช้งานไฟล์ CDF ดังกล่าวเพื่อจัดการกับเว็บเพจ
สำหรับช่องโหว่ที่หนึ่ง สาม และสี่ โดยการหลอกล่อให้ผู้ใช้บราวเซอร์
IE เปิดดูข้อมูลในเว็บเพจซึ่งสร้างขึ้นมาเป็นพิเศษสำหรับทำการโจมตี
เมื่อเปิดดูแล้ว ผู้บุกรุกก็จะสามารถใช้ประโยชน์จากช่องโหว่เหล่านี้ได้เพื่อทำการบุกรุกระบบ
เช่น สามารถสั่งรันโค้ดได้จากระยะไกล เป็นต้น
สำหรับช่องโหว่ที่สอง โดยการหลอกล่อให้ผู้ใช้คลิก
URL ซึ่งสร้างขึ้นมาเป็นพิเศษสำหรับทำการโจมตีระบบ แล้วจึงทำการหลอกล่อให้ผู้ใช้งานคลิก
URL ดังกล่าวซึ่งอาจอยู่บนเว็บไซต์หรือในอี-เมล์ หลังจากคลิกแล้ว ผู้บุกรุกก็จะสามารถบุกรุกระบบได้
เช่น สามารถสั่งรันโค้ดจากระยะไกล
หากผู้ใช้งานเครื่องคอมพิวเตอร์ที่ยังไม่ได้ทำการอุดช่องโหว่นี้ล็อกอินภายใต้สิทธิของผู้ดูแลระบบ
ผู้บุกรุกก็จะสามารถควบคุมเครื่องไว้ได้ทั้งหมด ซึ่งรวมถึงการติดตั้งโปรแกรมเพิ่มเติมเข้าไป
การเรียกดู เปลี่ยนแปลง หรือแม้แต่ลบข้อมูลที่อยู่ในเครื่องนั้นทิ้งไป
รวมทั้งการเพิ่มผู้ใช้รายใหม่ที่มีระดับสิทธิสูงๆ เข้าไปในบัญชีผู้ใช้
หากไม่ได้ล็อกอินภายใต้สิทธิดังกล่าว ความเสี่ยงต่อความเสียหายหรือผลกระทบที่อาจเกิดขึ้นก็จะลดความรุนแรงลงไป
ผลกระทบของช่องโหว่นี้
ผู้บุกรุกสามารถสั่งรันโค้ดได้จากระยะไกล
ระดับความรุนแรง
สูงสุด (Critical)
ซอฟต์แวร์ที่ได้รับผลกระทบ
- Microsoft Windows 2000 Service Pack 3 and Microsoft
Windows 2000 Service Pack 4
- Microsoft Windows XP Service Pack 1 and Microsoft
Windows XP Service Pack 2
- Microsoft Windows XP 64-Bit Edition Service Pack
1 (Itanium)
- Microsoft Windows XP 64-Bit Edition Version 2003
(Itanium)
- Microsoft Windows Server 2003
- Microsoft Windows Server 2003 for Itanium-based
Systems
- Microsoft Windows 98, Microsoft Windows 98 Second
Edition (SE), and Microsoft Windows Millennium Edition (ME) -
Review the FAQ section of this bulletin for details about these
operating systems.
คอมโพเน้นต์ที่ได้รับผลกระทบ
- Internet Explorer 5.01 Service Pack 3 (SP3) on
Windows 2000 Service Pack 3: ดาวน์โหลดได้จากลิงก์นี้
- Internet Explorer 5.01 Service Pack 4 on Windows
2000 Service Pack 4: ดาวน์โหลดได้จากลิงก์นี้
- Internet Explorer 5.5 Service Pack 2 on Microsoft
Windows Millennium Edition: - Review the FAQ section of this bulletin
for details about this version.
- Internet Explorer 6 Service Pack 1 on Microsoft
Windows 2000 Service Pack 3, on Microsoft Windows 2000 Service
Pack 4, or on Microsoft Windows XP Service Pack 1: ดาวน์โหลดได้จากลิงก์นี้
- Internet Explorer 6 Service Pack 1 on Microsoft
Windows 98, on Microsoft Windows 98 SE, or on Microsoft Windows
Millennium Edition: - Review the FAQ section of this bulletin
for details about this version.
- Internet Explorer 6 for Windows XP Service Pack
1 (64-Bit Edition): ดาวน์โหลดได้จากลิงก์นี้
- Internet Explorer 6 for Windows Server 2003:
ดาวน์โหลดได้จากลิงก์นี้
- Internet Explorer 6 for Windows Server 2003
64-Bit Edition and Windows XP 64-Bit Edition Version 2003: ดาวน์โหลดได้จากลิงก์นี้
- Internet Explorer 6 for Windows XP Service Pack
2: ดาวน์โหลดได้จากลิงก์นี้
วิธีแก้ไขปัญหา
ให้ติดตั้งโปรแกรมอุดช่องโหว่ตามข้อมูลด้านบน
|
