Microsoft XML 2.0 Core Services Vulnerability Patch

Maelezo

Microsoft XML Core Services (MSXML) inajumuisha kidhibiti cha XMLHTTP ActiveX, ambacho huruhusu kurasa za wavuti zinazotoa katika kivinjari kutuma au kupokea data ya XML kupitia utendakazi wa HTTP kama vile POST, GET, na PUT. Udhibiti hutoa hatua za usalama iliyoundwa kuzuia kurasa za wavuti ili ziweze kutumia kidhibiti tu kuomba data kutoka kwa vyanzo vya mbali vya data.

Kuna hitilafu katika jinsi udhibiti wa XMLHTTP unavyotumia mipangilio ya eneo la usalama la IE kwa mtiririko wa data iliyoelekezwa kwingine inayorejeshwa kwa kujibu ombi la data kutoka kwa tovuti. Athari huathiri kwa sababu mshambulizi anaweza kujaribu kutumia dosari hii na kubainisha chanzo cha data kilicho kwenye mfumo wa ndani wa mtumiaji. Mshambulizi anaweza kutumia hii kurejesha taarifa kutoka kwa mfumo wa ndani hadi kwa tovuti ya mshambulizi. Mshambulizi atalazimika kushawishi mtumiaji kwenye tovuti iliyo chini ya udhibiti wake ili kutumia athari hii. Haiwezi kutumiwa na barua pepe ya HTML. Kwa kuongezea, mshambuliaji atalazimika kujua njia kamili na jina la faili la faili yoyote ambayo angejaribu kusoma. Hatimaye, athari hii haimpi mvamizi uwezo wowote wa kuongeza, kubadilisha au kufuta data.