|
Microsoft
Security Bulletin MS06-002
Vulnerability in Embedded Web Fonts Could Allow Remote Code Execution
(908519)
วันที่ประกาศ : 12 มกราคม 2549
เวอร์ชัน : 1.0
เรียบเรียงโดย : ไตรรัตน์
พุทธรักษา
คำอธิบายโดยย่อ
ไมโครซอฟต์ได้ประกาศแจ้งเตือนช่องโหว่ที่เกิดขึ้นในระบบปฏิบัติการไมโครซอฟต์วินโดว์ส
ช่องโหว่เหล่านี้อาจเป็นผลให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกล
ซึ่งข้อมูลโดยย่อของช่องโหว่มีดังนี้
Windows Embedded Web Font Vulnerability - CVE-2006-0010
ช่องโหว่นี้เกิดขึ้นในส่วนของการจัดการกับฟอนต์ที่ฝังมากับเว็บ
(Embedded web font) ของระบบปฏิบัติการไมโครซอฟต์วินโดว์ส ซึ่งเป็นช่องโหว่หน่วยความจำล้นของหน่วยความจำแบบฮีป
(Heap-based Buffer Overflow) เป็นผลให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกล
โดยผู้บุกรุกสามารถใช้ประโยชน์จากช่องโหว่นี้ได้หลายช่องทาง อาทิ
- สร้างเว็บไซต์แล้วบรรจุฟอนต์ที่สร้างขึ้นมาพิเศษสำหรับการบุกรุกระบบ
แล้วชักชวนหรือหลอกล่อให้ผู้ใช้งานเข้าไปดูเว็บไซต์ดังกล่าว
- ส่งอี-เมล์ที่มีไฟล์ฟอนต์ที่สร้างขึ้นมาเป็นพิเศษสำหรับการบุกรุก
หากผู้ใช้งานเครื่องคอมพิวเตอร์ที่ยังไม่ได้ทำการอุดช่องโหว่นี้ล็อกอินภายใต้สิทธิของผู้ดูแลระบบ
ในกรณีที่รุนแรงที่สุดของช่องโหว่นี้ ผู้บุกรุกก็จะสามารถควบคุมเครื่องไว้ได้ทั้งหมด
ซึ่งรวมถึงการติดตั้งโปรแกรมเพิ่มเติมเข้าไป การเรียกดู เปลี่ยนแปลง
หรือแม้แต่ลบข้อมูลที่อยู่ในเครื่องนั้นทิ้งไป รวมทั้งการเพิ่มผู้ใช้รายใหม่ที่มีระดับสิทธิสูงเข้าไปในบัญชีผู้ใช้
หากผู้ใช้ไม่ได้ล็อกอินภายใต้สิทธิดังกล่าว ผลกระทบที่อาจเกิดขึ้นก็จะลดความรุนแรงลงไป
ผลกระทบของช่องโหว่นี้
ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกล
ระดับความรุนแรง
สูงสุด (Critical)
ซอฟต์แวร์ที่ได้รับผลกระทบ
- Microsoft Windows 2000 Service Pack 4 ดาวน์โหลดได้จากลิงก์นี้
- Microsoft Windows XP Service Pack 1 and Microsoft
Windows XP Service Pack 2 ดาวน์โหลดได้จากลิงก์นี้
- Microsoft Windows XP Professional x64 Edition
ดาวน์โหลดได้จากลิงก์นี้
- Microsoft Windows Server 2003 and Microsoft Windows
Server 2003 Service Pack 1 ดาวน์โหลดได้จากลิงก์นี้
- Microsoft Windows Server 2003 for Itanium-based
Systems and Microsoft Windows Server 2003 with SP1 for Itanium-based
Systems ดาวน์โหลดได้จากลิงก์นี้
- Microsoft Windows Server 2003 x64 Edition ดาวน์โหลดได้จากลิงก์นี้
- Microsoft Windows 98, Microsoft Windows 98 Second
Edition (SE), and Microsoft Windows Millennium Edition (ME)
Review the FAQ section of this bulletin for details about these
operating systems.
วิธีแก้ไขปัญหา
ให้ติดตั้งโปรแกรมอุดช่องโหว่ตามข้อมูลด้านบน
|
