Microsoft IE 框架域判断错误读取任意文件漏洞(MS01-058)

漏洞信息详情

Microsoft IE 框架域判断错误读取任意文件漏洞(MS01-058)

• CNNVD编号：CNNVD-200112-096
• 危害等级： 中危
  
  
• CVE编号：
  CVE-2001-0874
  
• 漏洞类型：
  
  
  未知
  
• 发布时间：
  
  2001-12-13
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2005-10-12
  
• 厂        商：
  
  microsoft
• 漏洞来源：

Microsoft IE在判断框架域时没有进行有效的访问验证，允许恶意网站管理员读取访问用户本地系统中的特定类型的文件。
恶意的网站管理员可以利用这一漏洞打开两个浏览器窗口(一个在该网站的域中，另一个则是在该用户的本地文件系统中)，并从后一个窗口向前一个窗口发送信息。这样该网站管理员就可以通过浏览器窗口读取(但不能修改)用户本地计算机中的任何文件。攻击者只能利用这一漏洞阅读可以用浏览器窗口打开的文件，例如图片文件、HTML文件和文本文件。其他文件类型，如程序文件、可执行文件、Word文档等都无法阅读。另外，攻击者也必须确切地知道文件名和路径才能成功地阅读本地系统中的这个文件。
这个漏洞是MS01-015中讨论过的\”框架域判断\”漏洞的一个新变种
＜*链接：http：//www.microsoft.com/technet/security/bulletin/MS01-058.asp
*＞

临时解决方法：
如果您不能立刻安装补丁或者升级，CNNVD建议您采取以下措施以降低威胁：

* 暂时换用其它浏览器，如Opera等。

* 在IE浏览器中禁止活动脚本选项。
厂商补丁：
Microsoft
———
微软已经为此发布了一个安全公告(MS01-058)以及相应补丁程序：

http://www.microsoft.com/technet/security/bulletin/MS01-058.asp” target=”_blank”>
http://www.microsoft.com/technet/security/bulletin/MS01-058.asp

补丁下载：

Microsoft Internet Explorer 5.5 and 6.0:

http://www.microsoft.com/windows/ie/downloads/critical/Q313675/default.asp” target=”_blank”>
http://www.microsoft.com/windows/ie/downloads/critical/Q313675/default.asp

来源: XF
名称: ie-frame-verification-variant2(7702)
链接:http://xforce.iss.net/static/7702.php

来源: BID
名称: 3693
链接:http://www.securityfocus.com/bid/3693

来源: MS
名称: MS01-058
链接:http://www.microsoft.com/technet/security/bulletin/ms01-058.asp

来源: CIAC
名称: M-027
链接:http://www.ciac.org/ciac/bulletins/m-027.shtml