Microsoft Security Bulletin MS04-004

CÁC PHẦN MỀM BỊ ẢNH HƯỞNG:

• Microsoft Windows 98

• Microsoft Windows 98 Second Edition

• Microsoft Windows Millennium Edition

• Microsoft Windows NT® Workstation 4.0 Service Pack 6a

• Microsoft Windows NT Server 4.0 Service Pack 6a

• Microsoft Windows NT Server 4.0 Terminal Server Edition, Service Pack 6

• Microsoft Windows 2000 Service Pack 2, Service Pack 3, Service Pack 4

• Microsoft Windows XP, Microsoft Windows XP Service Pack 1

• Microsoft Windows XP 64-Bit Edition, Microsoft Windows XP 64-Bit Edition Service Pack 1

• Microsoft Windows XP 64-Bit Edition Version 2003

• Microsoft Windows Server® 2003

• Microsoft Windows Server 2003, 64-Bit Edition

CÁC CẤU THÀNH BỊ ẢNH HƯỞNG:

• Internet Explorer 6 Service Pack 1

• internet Explorer 6 Service Pack 1 (64-Bit Edition)

• Internet Explorer 6 for Windows Server 2003

• Internet Explorer 6 for Windows Server 2003 (64-Bit Edition)

• Internet Explorer 6

• Internet Explorer 5.5 Service Pack 2

• Internet Explorer 5.01 Service Pack 4

• Internet Explorer 5.01 Service Pack 3

• Internet Explorer 5.01 Service Pack 2

ĐÁNH GIÁ MỨC ĐỘ CẢNH BÁO: NGHIÊM TRỌNG

CẢNH BÁO NÀY LÀ GÌ?

Trung tâm phản ứng với các vần đề bảo mật của MS vừa đưa ra Microsoft Security Bulletin MS04-004 đề cập đến lỗ hổng bảo mật trong Internet Explorer. Các khách hàng được khuyến cáo nên xem các thông tin trong thông báo này, kiểm tra và cài đặt ngay các bản cập nhật cho hệ thốnng của họ nếu có.

TÁC ĐỘNG CỦA LỖ HỔNG BẢO MẬT: Cho phép thực hiện các mã lệnh từ xa Remote Code Execution

CHI TIẾT KỸ THUẬT:

Đây là dạng cập nhật tích lũy bao gồm các tính năng của tất cả các cập nhật trước đây cho Internet Explorer 5.01, Internet Explorer 5.5, và Internet Explorer 6.0. Thêm vào đó, cập nhật này còn có tác dụng loại bỏ 3 lỗ hổng mới nhất vừa được phát hiện:

Lỗ hổng liên quan tới mô hình bảo mật liên vùng (cross-domain) trong Internet Explorer. Mô hình này giữ cho cửa sổ của các vùng khác nhau không chia sẻ thông tin. Lỗ hổng này có thể xuất hiện khi thực hiện các mã lệnh script trong Local Machine zone. Để khai thác lỗ hổng này, kẻ tấn công phải quản lý một Web site với dụng ý xấu, trong đó chứa các trang Web được thiết kế để khai thác lỗ hổng và dụ người dùng duyệt các trang web đó. Kẻ tấn công cũng có thể tạo các thư điện tử dạng HTML để khai thác lỗ hổng này và dụ người nhận đọc các thông điệp đó. Sau khi người dùng truy cập các website có dụng ý xấu hay đọc các thư điện tử HTML, kẻ tấn công có thể truy cập thông tin từ một Web site khác, truy cập các file trong hệ thống của người dùng và thực hiện các đoạn mã bất kỳ trên hệ thống đó. Đoạn mã có thể thực hiện với quyền truy cập của người dùng hiện tại.

Lỗ hổng liên quan tới việc thực hiện thao tác drag-and-drop với hàm con trỏ trong các sự kiện HTML động (DHTML) của Internet Explorer. Lỗ hổng này có thể cho phép lưu các file bất kỳ vào một vị trí trong hệ thống của người dùng nếu họ nhấn chuột vào các liên kết. Sẽ không xuất hiện các hộp thoại yêu cầu người dùng chấp thuận tải các file này hay không. Để tận dụng lỗ hổng này, kẻ tấn công có thể tạo ra những Web site với dụng ý xấu có chứa các trang Web tạo ra những liên kết lừa đảo. Kẻ tấn công có thể dụ người dùng nhấn chuột vào liên kết đó. Hoặc cũng có thể tạo ra các email khuôn dạng HTML chứa các liên kết lừa đảo. Nếu người dùng nhấn chuột vào các liên kết này, đoạn mã mà kẻ tấn công định thực hiện có thể không hoạt động nhưng sẽ được lưu lại trên hệ thống của người dùng.

Lỗ hổng liên quan tới địa chỉ URL chứa các ký tự đặc biệt. Khi kết hợp với việc quá lạm dụng các thuộc tính thẩm định quyền truy cập cơ bản basic authentication gồm “username:password@” trên dòng địa chỉ URL, lỗ hổng này có thể làm sai lạc URL trên address bar của trình duyệt Internet Explorer. Để lợi dụng lỗ hổng này, kẻ tấn công, phải tạo ra những Web site với dụng ý xấu có chứa các trang Web tạo ra những liên kết lừa đảo. Sau đó dụ dỗ người dùng truy cập các liên kết đó. Hoặc cũng có thể tạo ra các email khuôn dạng HTML chứa các liên kết lừa đảo. Khi người dùng xem các thư này và nhấn vào các liên kết, trình duyệt Internet Explorer không thể mở các URL mà kẻ tấn công đưa ra trên address bar, mà thay vào đó là các nội dung trong Web Site mà kẻ tấn công mong muốn. Ví dụ, kẻ tấn công có thể tạo liên kết mà mỗi khi người dùng nhấn chuột, trên address bar hiển thị http://www.tailspintoys.com nhưng thực tế chứa các nội dung của một Web Site khác, như http://www.wingtiptoys.com chẳng hạn. (Ghi chú: các tên được nêu ra ở đây chỉ mang tính minh hoạ và cả hai đều chuyển tới http://www.microsoft.com)

Với các cập nhật tích lũy trước đây của Internet Explorer, bao gồm MS03-004, MS03-015, MS03-020, MS03-032, MS03-040, và MS03-048, cập nhật lần này gây ra window.showHelp( ) control sẽ không làm việc nếu bạn không cập nhật HTML Help. Nếu bạn cài đặt HTML Help control cập nhật từ Microsoft Knowledge Base article 811630, bạn sẽ có thể dùng các tính năng của HTML Help sau khi cập nhật bản sửa lỗi này.

Bản cập nhật này cũng gồm các thay đổi đối với thuộc tính của Basic Authentication trong Internet Explorer. Bản cập nhật gỡ bỏ hỗ trợ việc quản lý user name và password trong HTTP và HTTP với Secure Sockets Layer (SSL) hay HTTPS trong Microsoft Internet Explorer. Cú pháp URL sau sẽ không còn được hỗ trợ trong Internet Explorer hay Windows Explorer sau khi cài đặt phần mềm cập nhật:

• http(s)://username:password@server/resource.ext

Để biết thêm chi tiết về các thay đổi này, hãy truy cập Microsoft Knowledge Base, article 834489.

Thêm vào đó, cập nhật này sẽ không cho phép truy cứu tới các URL “username:password@host.com” của XMLHTTP.

Microsoft hiện đang tạo các cập nhật đối với MSXML sẽ nêu ra vấn đề này đặc biệt là với XMLHTTP và cũng sẽ cung cấp thêm các thông tin trong thông báo bảo mật khi bản cập nhật sẵn sàng.

Bản cập nhật cũng có sự thay đổi so với Internet Explorer 6 Service Pack 1, ngăn không cho các trang web trong vùng Internet Security truy cập vùng local computer. Điều này được đề cập nhiều hơn trong “Những câu hỏi thường gặp Frequently Asked Questions”.

CÁCH LÀM GIẢM THIỆT HẠI:

Có nhiều cách làm giảm thiệt hại áp dụng được cho cả hai lỗ hổng Liên vùng và lỗ hổng thao tác Drag-and-Drop:

Mặc định, Internet Explorer trên Windows Server 2003 được đặt Enhanced Security Configuration. Thiết lập này cuả Internet Explorer tự động khoá toàn bộ những tấn công lợi dụng lỗ hổng này. Nếu Internet Explorer Enhanced Security Configuration bị disabled, các biện pháp bảo vệ được đặt thay vào đó để ngăn các lỗ hổng khong bị khai thác.

Trong trường hợp tấn công bằng trang web, kẻ tấn công phải nắm dữ Web site chứa các trang Web được dùng để khai thác lỗ hổng. Kẻ tấn công không có cách nào ép người dùng truy cập các Web site có dụng ý xấu. Thay vì đó, kẻ tấn công sẽ phải dụ dỗ người dùng tới đó, thông thường bằng việc khuyến cáo họ nháy chuột vào liên kết sẽ dẫn họ tới site của kẻ tấn công.

Mặc định, Outlook Express 6.0, Outlook 2002 và Outlook 2003 mở các thư điện tử dạng HTML trong vùng Restricted sites. Thêm vào đó, Outlook 98 và 2000 cũng sẽ mở các thư điện tử trong vùng Restricted sites nếu Outlook E-mail Security Update được cài đặt. Sự nguy hiểm của các tấn công từ thư điện tử khuôn dạng HTML có thể bị giảm bớt nếu:

Bạn đã cập nhật bản sửa lỗi bảo mật trong Microsoft Security bulletin MS03-040 hay MS03-048

• Bạn đang dùng Internet Explorer 6 hay mới hơn

• Bạn đang dùng Microsoft Outlook Email Security Update hay Microsoft Outlook Express 6.0 hay mới hơn, hoặc Microsoft Outlook 2000 hay mới hơn với các thiết lập mặc định.

Nếu kẻ tấn công lợi dụng lỗ hổng này, chúng chỉ có thể lấy được quyền ưu tiên như của người dùng hiện thời. Do đó, người dùng có quyền ưu tiên thấp trong hệ thống thì sẽ ít nguy hiểm hơn nếu như họ bị nhiễm.

Yêu cầu phải khởi động lại: Có

Bản cập nhật có thể dỡ bỏ: Có

BÀI LIÊN QUAN TRONG KB: 832894

KẾT NỐI LIÊN QUAN:

http://www.microsoft.com/technet/security/bulletin/ms04-004.asp

XIN TRUY CẬP http://www.microsoft.com/technet/security/ ĐỂ CÓ CÁC THÔNG TIN CẬP NHẬT NHẤT VỀ CẢNH BÁO NÀY.

Nếu bạn có câu hỏi liên quan tới bản sửa lỗi hay các hành động cần thiết sau khi đã đọc những thông tin trên đây, xin liên hệ với dịch vụ hỗ trợ khách hàng của MS Việt nam: vietpss@microsoft.com hoặc điện thoại +844-826-8838.