安全公告
Microsoft 安全公告 MS02-013 - 严重
2002 年 3 月 4 日累积 VM 更新
更新时间：2009 年 7 月 1 日
版本： 3.0
最初发布： 2002 年 3 月 4 日
总结
谁应阅读此公告： 所有使用 Microsoft Windows® 的客户
漏洞的影响： 信息泄露，运行攻击者选择的代码
最大严重性分级： 严重
建议： 使用 Microsoft Windows 的客户应升级到最新的 Microsoft 虚拟机。
受影响的软件： Microsoft 虚拟机（Microsoft VM）的版本由内部版本号标识，可以使用 JVIEW 工具确定，如常见问题解答中所述。 以下 Microsoft VM 版本受到影响：
- Microsoft VM 的所有内部版本（包括内部版本 3802）。
常规信息
技术详细信息
技术说明：
2002 年 3 月 4 日，Microsoft 发布了本公告的第一个版本。 2002 年 3 月 18 日，Microsoft 重新发布了此公告，让客户了解更新的 VM（Microsoft VM 内部版本 3805）消除了额外的漏洞。 以前安装过新版本的客户无需采取任何其他操作。
Microsoft VM 是 Win32® 操作环境的虚拟机。 Microsoft VM 适用于 Windows 95、Windows 98、ME、Windows NT® 4.0、Windows 2000 和 Windows XP。 它还作为 Internet Explorer 6 及更早版本的一部分提供。
VM（内部版本 3805）的一个新版本可用，可消除两个安全漏洞。 第一个漏洞是影响如何处理代理资源的 Java 请求的缺陷的结果。 恶意 Java 小程序在将代理服务器离开攻击者选择的目标后，可能会利用此缺陷重新定向 Web 流量。
攻击者可以使用此缺陷将用户的 Internet 会话发送到自己的控制系统，而无需用户意识到这一点。 然后，攻击者可以将信息转发到目标，使会话正常出现。 然后，攻击者可以发送自己的恶意响应，使其似乎来自预期目标，或者可能会取消卡会话信息，从而给人留下拒绝服务的印象。 此外，攻击者还可以捕获和保存用户的会话信息。 这可能使他能够执行重播攻击或搜索敏感信息，例如用户名或密码。
仅当 IE 与代理服务器一起使用时，系统才易受攻击。 浏览器不在代理服务器后面的用户不容易受到此漏洞的攻击。 但是，如果用户在以后将浏览器更改为使用代理服务器，这些用户将易受攻击。
第二个漏洞是 MS99-045 中首次讨论的“虚拟机验证程序”问题的新发现变体。 与大多数编程语言一样，Java 语言通过强制转换操作提供转换类型的方法。 最常见的是，它们用于转换数据类型，尽管其他更复杂的类型转换是可能的。 Microsoft VM 中强制转换操作的安全检查存在缺陷。 漏洞会导致漏洞，因为攻击者有可能利用此缺陷，并使用它在沙盒外部执行代码。 此代码将在用户的上下文中执行，并且仅受控制用户自己的约束。
缺陷仅影响 Java 小程序，它不会影响 Java 应用程序。 若要成功发起攻击，恶意用户必须专门在二进制级别制作 Java 小程序，将其发布到其网站上，并吸引目标访问其网站。
缓解因素：
HTTP 代理重定向漏洞：
- 此漏洞仅影响使用代理服务器的配置。 未使用代理服务器的客户不会面临此漏洞的风险。
- 最佳做法强烈建议使用 SSL 加密敏感信息，例如用户名、密码和信用卡号码。 如果已执行此操作，则利用此漏洞的攻击者将保护敏感信息免受检查和泄露。
虚拟机验证程序变体：
- 该漏洞仅影响 Java 小程序，而不会影响 Java 应用程序。
- 利用漏洞需要详细的特定知识和技能。
- 攻击者必须将目标引诱到他控制下的某个网站，在那里他张贴了恶意小程序。
- 通过使用应用程序筛选软件，可以在防火墙外围阻止 Java 小程序和其他移动代码。
严重性分级：
HTTP 代理重定向漏洞：
| Internet 服务器 | Intranet 服务器 | 客户端系统 | |
|---|---|---|---|
| Microsoft VM （所有版本） | 适中 | 适中 | 严重 |
虚拟机验证程序变体：
| Internet 服务器 | Intranet 服务器 | 客户端系统 | |
|---|---|---|---|
| Microsoft VM （所有版本） | 适中 | 适中 | 严重 |
上述 评估 基于受漏洞影响的系统类型、其典型部署模式以及利用漏洞对它们的影响。 此漏洞会影响个人信息泄露，并且很可能对客户端系统产生影响。
漏洞标识符：
- HTTP 代理重定向漏洞： CAN-2002-0058
- 虚拟机验证程序变体： CAN-2002-0076
测试的版本：
Microsoft 测试的 Microsoft VM 版本为 3167 及更高版本，该版本随 IE 5.0 及更高版本一起提供，以评估它们是否受此漏洞的影响。 以前的版本不再 受支持，可能会或不受这些漏洞的影响。
常见问题解答
为什么此公告重新发布？
此公告已重新发布，使客户了解更新的 VM（Microsoft VM 内部版本 3805 或更高版本）消除的附加漏洞。
为什么你选择在此时间宣布此附加漏洞？
2002 年 3 月 4 日，我们发布了一个更新的 VM，除了两个新漏洞外，还消除了以前已知的所有漏洞。 其他漏洞现已公开公布，作为所有供应商在指定日期协调联合公告的一部分。
为什么你以前没有宣布此漏洞？
我们已推迟将此问题公开，直到联合公告日期，以确保所有供应商的客户都能完全保护它们。 。
是否已重新发布修补程序？
否。 此公告（内部版本 3805）中发布的新 VM 版本消除了所有已知漏洞。 如果在最初发布新版本时安装了新版本，则无需执行任何其他操作。
此修补程序消除了哪些新漏洞？
此修补程序解决了两个漏洞：
- 与 HTTP 代理重定向相关的漏洞。
- MS99-045 的 变体
第一个漏洞的范围是什么？
这是会话劫持漏洞。 此漏洞可能允许恶意制作的 Java 小程序无提示地将所有浏览器流量重新路由到小程序主机，而无需用户了解。 一旦攻击者拥有重新路由的浏览器流量，他就可以采取任何操作或组合他选择的操作。 这包括处理浏览器请求、记录会话信息或将请求转发到预期目标。 请务必注意，此功能可以允许恶意方记录用户的会话信息，并可能搜索以明文形式发送的用户名、密码或信用额度卡号码。
仅当 Internet Explorer 配置为通过代理服务器访问 Internet 资源时，才能利用此漏洞。 未将浏览器配置为使用代理服务器的用户不会受到此漏洞的威胁。 此外，由于安全 HTTP（HTTPS）是使用 SSL 加密的，因此利用此漏洞的攻击捕获的任何 HTTPS 流量在纯文本中不可读。 这意味着使用 HTTPS 发送的用户名和密码比使用 HTTP 以纯文本发送的信息要低得多。 尝试利用此漏洞的恶意小程序将处于活动状态，直到浏览器的进程退出所有打开的 IE 会话。
导致漏洞的原因是什么？
此漏洞是由于处理 Java 中代理服务的某些请求的方式造成的。 在 IE 配置为使用代理服务的配置中，一个特别精心制作的 Java 程序（有时称为小程序）可能会利用此漏洞转发浏览器流量。
什么是代理服务器？
代理服务器是代表客户端执行 Web 请求的服务器，而不是让客户端自行执行请求。 例如，当用户从站点请求页面并且用户的浏览器配置为使用代理服务器时，浏览器会联系代理服务器而不是联系站点。 然后，代理服务器将请求传递到站点并接收响应。 然后，代理服务器将响应传回用户的浏览器。 通常，代理用作专用网络（例如公司 Intranet 和公共 Internet）之间的网关。
IE 如何通过代理服务器处理 Java 请求有什么问题？
当 IE 配置为使用代理服务器时，Java 请求的处理方式存在特定的独立问题。 特制小程序可能会导致代理服务器将数据包发送到攻击者选择的目标，而不是目标目标。
Microsoft 代理服务器或 Internet 安全性和加速服务器 2000 是否出现问题？
该漏洞不会导致任何代理服务器出现问题。 正在使用的特定代理服务器不会影响漏洞的范围。 此问题与 IE 处理来自 Java 小程序的请求以使用任何代理服务器的方式有关。
某人如何利用此漏洞？
为了成功利用此漏洞，恶意用户必须开发专门制作的 Java 小程序并将其托管在其网站上。 为了有效利用此漏洞，用户必须维护可访问的站点，这样他就可以重新定向被劫持的流量。
什么是安全 HTTP（HTTPS），它如何保护我免受此漏洞的伤害？
首先，请务必记住，超文本传输协议（HTTP）设计以人工可读明文形式发送信息。 这意味着，如果攻击者能够在 Web 会话期间来回检查发送的信息，他可能会读取该信息。 如果包括用户名或密码，他将能够读取该信息。
安全 HTTP （HTTPS） 通过使用安全套接字层 （SSL） 加密来掩盖敏感信息来解决此问题。 使用 HTTPS 发送的信息不是以人工可读形式发送的，因为它已加密。
由于此漏洞可能允许恶意个人将 Web 流量重定向到自己选择的网站，因此任何以人类可读形式形式的敏感信息都可能存在风险。 建议使用 HTTPS 发送任何敏感信息（如用户名、密码和信用卡号码）。
如何知道我是否使用 HTTP 或 HTTPS 发送信息？
使用 HTTPS 而不是 HTTP 时，有两种方法可以确定这两种方法。 首先，使用 HTTPS 发送信息时，IE 窗口右下角将显示一个小金锁。 还可以检查查看 URL 显示 HTTPS 而不是 HTTP。
有人可以通过此漏洞做什么？
此漏洞可能允许某人将 Web 流量重定向到他选择的网站。 因此，有多种选项可用于恶意使用。
- 最严重的攻击可能是像平常一样转发流量，使用户不知道他的流量被重定向。 然后，恶意用户可以捕获流量，并检查其敏感信息，例如密码。
- 恶意攻击者还可以选择自己处理重定向的流量。 由于用户不会指示其会话已重定向，因此会允许恶意用户“欺骗”用户的预期会话。
- 最后，恶意用户可能只是取消卡重定向流量，从而创建拒绝服务。
利用漏洞的影响会持续多久？
利用此漏洞的攻击者可以在用户的浏览会话中使用此漏洞，直到用户关闭浏览器。 访问攻击者站点后，用户的完整会话可能会被攻击者“嗅探”。
有人是否可以使用此漏洞来“嗅探”其他用户的会话？
否。 该漏洞仅影响用户自己的会话。 它不能用于影响任何其他用户的会话。
这种漏洞会意外利用吗？
否。 利用此漏洞所需的信息非常具体，不太可能意外使用。
第二个漏洞的范围是什么？
这是最初在 Microsoft 安全公告 MS99-045 中讨论的漏洞的新变体。 这是 特权提升 漏洞。 能够成功利用此漏洞的攻击者能够运行可在用户自己能够对用户的系统上采取措施的代码。 这可能包括添加、更改或删除数据或配置信息。
攻击者的操作将受到任何控制用户操作的限制。 因此，在帐户遵守最低特权规则的环境中，攻击者可能会受到其程序可能执行的操作的严重限制。 此外，此漏洞仅影响 Java 小程序;Java 程序无法利用此漏洞。
导致漏洞的原因是什么？
该漏洞会导致漏洞，因为特殊格式不正确的 Java 小程序可以通过执行非法强制转换操作来转义沙盒。 如果攻击者要构建一个小程序，以这种方式绕过沙盒安全机制，他可能会导致选择的代码在沙盒外部运行，并采取操作，就好像是用户一样。
此漏洞与安全公告 MS99-045 中讨论的漏洞之间是否有任何差异？
否。 此新变体在范围和可利用性方面是相同的。 唯一的区别是原因略有变化。
更新后的 Microsoft VM 的作用是什么？
更新后的 Microsoft VM 通过更改如何处理来自 Java 小程序的代理请求来消除漏洞。 安装并应用更新的 VM 后，恶意 Java 小程序无法重定向流量。
如何实现确定 Microsoft VM 版本的内部版本号？
- 打开命令窗口：
- 在 Windows NT、Windows 2000 或 Windows XP 上，选择“开始”，然后选择“运行”，然后键入“CMD”并按 Enter 键。 在 Windows 95、98 或 ME 上，选择“开始”，然后选择“运行”，然后键入“COMMAND”并按 Enter 键。
- 在命令提示符下，键入“JVIEW”并按 Enter 键。
- 版本信息将位于最顶层的右侧。 它将具有类似于“5.00.xxxx”的格式，其中“xxxx”是内部版本号。 例如，如果版本号为 5.00.1234，则内部版本号为 1234。
修补程序可用性
Microsoft Java 虚拟机不再受支持。 有关详细信息，请参阅 Microsoft Java 虚拟机 和 Microsoft Java 虚拟机支持。
其他信息：
确认
Microsoft 感谢Harmen van der Wal 向我们报告 HTTP 代理重定向问题，并与我们合作保护客户。
支持：
- Microsoft 知识库文章Q300845讨论此问题，此公告发布后大约 24 小时可用。 可以在 Microsoft Online 支持网站上找到知识库文章。
- Microsoft 产品支持服务提供技术支持。 与安全修补程序关联的支持调用不收取任何费用。
安全资源：Microsoft TechNet 安全网站提供有关 Microsoft 产品安全性的其他信息。
免责声明：
Microsoft 知识库中提供的信息“按原样”提供，不提供任何形式的担保。 Microsoft 不明确或暗示所有保证，包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下，Microsoft Corporation 或其供应商都应对任何损害负责，包括直接、间接、附带、后果性、业务利润损失或特殊损害，即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任，因此上述限制可能不适用。
修改：
- V1.0（2002 年 3 月 4 日）：公告已创建。
- V2.0（2002 年 3 月 18 日）：公告更新了与 MS99-045 变体相关的信息。
- V2.1（2002 年 7 月 20 日）：更新到下载位置。
- V2.2（2003 年 5 月 9 日）：更新了指向Windows 更新的下载链接。
- V3.0（2009 年 7 月 1 日）：删除了下载信息，因为 Microsoft Java 虚拟机不再可用于从 Microsoft 分发。 有关详细信息，请参阅 修补程序可用性。
生成于 2014-04-18T13：49：36Z-07：00