|
Microsoft
Security Bulletin MS05-025
Cumulative Security Update for Internet Explorer (883939)
วันที่ประกาศ : 15 มิถุนายน 2548
เวอร์ชัน : 1.0
เรียบเรียงโดย : ดร.
บรรจง หะรังษี
กล่าวนำ
ไมโครซอฟท์ได้ประกาศแจ้งเตือนช่องโหว่ที่เกิดขึ้นในบราวเซอร์
Internet Explorer (IE) ช่องโหว่นี้อาจเป็นผลให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกลเข้ามา
ข้อมูลโดยย่อของช่องโหว่นี้มีดังนี้
PNG Image Rendering Memory Corruption Vulnerability
- CAN-2005-1211
ช่องโหว่นี้เกิดขึ้นในไลบรารีสำหรับแสดงภาพกราฟฟิก
PNG โดยมีสาเหตุมาจากการที่ไม่ได้ทำการตรวจสอบข้อมูลอินพุตที่รับเข้ามาก่อนนำไปใช้งาน
ผู้บุกรุกสามารถใช้ช่องโหว่นี้ได้โดยการจัดทำไฟล์ภาพกราฟฟิก PNG ขึ้นมาเป็นพิเศษสำหรับการบุกรุกระบบและวางไฟล์ภาพนี้ไว้ในเว็บไซต์แห่งหนึ่ง
หรือส่งไปในอี-เมล์ แล้วล่อลวงให้ผู้ใช้ทำการเปิดดูไฟล์ดังกล่าว เมื่อทำการเปิดขึ้นมาดู
การยึดครองระบบทั้งหมดก็จะสามารถทำได้
XML Redirect Information Disclosure Vulnerability
- CAN-2002-0648
ช่องโหว่นี้เกิดขึ้นจากปัญหาการจัดการเพื่อแสดงผลข้อมูล
XML ผู้บุกรุกสามารถใช้ช่องโหว่นี้ได้โดยการจัดทำเว็บเพจหรือข้อความอี-เมล์ที่จัดทำขึ้นมาเป็นพิเศษเพื่อการบุกรุก
แล้วล่อลวงให้ผู้ใช้ทำการเปิดดูเว็บหรืออี-เมล์ดังกล่าว ซึ่งจะเป็นผลให้ผู้บุกรุกสามารถเข้าถึงข้อมูลที่อยู่ในเครื่องที่มีช่องโหว่นี้ได้
หากผู้ใช้งานเครื่องคอมพิวเตอร์ที่ยังไม่ได้ทำการอุดช่องโหว่นี้ล็อกอินภายใต้สิทธิของผู้ดูแลระบบ
ในกรณีที่รุนแรงที่สุดของช่องโหว่เหล่านี้ ผู้บุกรุกก็จะสามารถควบคุมเครื่องไว้ได้ทั้งหมด
ซึ่งรวมถึงการติดตั้งโปรแกรมเพิ่มเติมเข้าไป การเรียกดู เปลี่ยนแปลง
หรือแม้แต่ลบข้อมูลที่อยู่ในเครื่องนั้นทิ้งไป รวมทั้งการเพิ่มผู้ใช้รายใหม่ที่มีระดับสิทธิสูงๆ
เข้าไปในบัญชีผู้ใช้ หากไม่ได้ล็อกอินภายใต้สิทธิดังกล่าว ความเสี่ยงต่อความเสียหายหรือผลกระทบที่อาจเกิดขึ้นก็จะลดความรุนแรงลงไป
ผลกระทบของช่องโหว่นี้
ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกล
ระดับความรุนแรง
สูงสุด (Critical)
ซอฟต์แวร์ที่ได้รับผลกระทบ
- Microsoft Windows 2000 Service Pack 3 and Microsoft
Windows 2000 Service Pack 4
- Microsoft Windows XP Service Pack 1 and Microsoft
Windows XP Service Pack 2
- Microsoft Windows XP 64-Bit Edition Service Pack
1 (Itanium)
- Microsoft Windows XP 64-Bit Edition Version 2003
(Itanium)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003
- Microsoft Windows Server 2003 Service Pack 1
- Microsoft Windows Server 2003 for Itanium-based
Systems
- Microsoft Windows Server 2003 with SP1 for Itanium-based
Systems
- Microsoft Windows Server 2003 x64 Edition
- Microsoft Windows 98, Microsoft Windows 98 Second
Edition (SE), and Microsoft Windows Millennium Edition (ME)
คอมโพเน็นต์ที่ได้รับผลกระทบ
วิธีแก้ไขปัญหา
ให้ติดตั้งโปรแกรมอุดช่องโหว่ตามข้อมูลด้านบน
|
