راهنمای امنيتی:

شکاف امنيتی در Microsoft Outlook 2002

تاريخ: 10  مارس 2004 (20 اسفند 1382)

منبع: US-CERT

سيستمهای تحت تاثير:

• Microsoft Office XP تا Service Pack 2
• Microsoft Outlook 2002  تا Service Pack 2

چکيده

يک شکاف امنيتی که طی آن Outlook 2002 با نوع خاصی از URL‌ سروکار دارد و به يک حمله‌کننده اجازه اجرای کدهای دلخواه وی را در سيستم آسيب‌پذير می‌دهد.

توضيح

Microsoft Outlook  يک برنامه متمرکز را برای مديريت و سازماندهی پيامها، زمانبنديها، کارها، يادداشتها، تماس‌ها و اطلاعات ديگر فراهم می‌کند. Outlook يکی از اجزای نسخه‌های جديدتر Microsoft Office است و بعنوان يک محصول مجزا نيز وجود دارد.

Outlook 2002 بدليل عدم بررسی کافی پارامترهايی که به کلاينت ايميل Outlook داده می‌شود، يک شکاف امنيتی ايجاد می‌کند. اين آسيب از طريق ترجمه  يک URL  “mailto:”  ايجاد می‌گردد. يک نفوذگر با ايجاد نوع خاصی از URLهای “mailto:”  می‌تواند باعث اجرای اسکريپت‌های دارای حقوق بالا شود که نهايتا منجر به اجرای کدهای دلخواه حمله‌کننده می‌شود. اين کدها از طريق پيامهای ايميل به قالب HTML يا از طريق صفحات وب ناخواسته به سيستم قربانی وارد می‌شود.

Microsoft در ابتدا ادعا کرد که تنها کاربرانی در معرض اين خطر قرار دارند که Outlook 2002  در سيستم آنها بعنوان پيش‌فرض برای خواندن ايميل‌ها انتخاب شده‌باشد و صفحه وب “Outlook Today” صفحه‌وب پيش‌فرض ‌آنها باشد. اطلاعات منتشرشده بعدی نشان می‌دهد که اين مطلب صحيح نيست و کاربران در ساير وضعيتها نيز از طريق نفوذهايی با کمی تفاوت در معرض خطر قرار دارند.

تاثير

يک حمله‌کننده می‌تواند کد دلخواه خود را روی سيستمی که در حال اجرای نسخه آسيب‌پذير Outlook است، اجرا کند.

راه حل

• اعمال Patch ارائه شده توسط ميکروسافت در بولتن امنيتی MS04-009
• در صورت عدم دسترسی به Patch مذکور،  مايکروسافت توصيه می‌کند که از صفحه خانگی“Outlook Today” در Outlook 2002‌ استفاده نکنيد.
• چنانچه از Outlook 2002 يا Outlook Express 6.0 SP1 يا بالاتر استفاده می‌کنيد پيامها را در قالب plain text (متن ساده) بخوانيد تا از نفوذها از طريق پيامها با فرمت HTML جلوگيری شود.