Microsoft XML 2.0 Core Services Vulnerability Patch

描述

Microsoft XML Core Services (MSXML) 包括 XMLHTTP ActiveX 控件，它允许在浏览器中呈现的网页通过 HTTP 操作（例如 POST、GET 和 PUT）发送或接收 XML 数据。该控件提供了旨在限制网页的安全措施，因此它们只能使用该控件从远程数据源请求数据。

XMLHTTP 控件如何将 IE 安全区域设置应用于响应来自网站的数据请求而返回的重定向数据流中存在一个缺陷。由于攻击者可能试图利用此漏洞并指定用户本地系统上的数据源，因此会导致漏洞。然后，攻击者可以使用它从本地系统将信息返回到攻击者的网站。攻击者必须诱使用户访问他控制的站点才能利用此漏洞。 HTML 电子邮件无法利用它。此外，攻击者必须知道他试图读取的任何文件的完整路径和文件名。最后，此漏洞不赋予攻击者任何添加、更改或删除数据的能力。