راهنماي امنيتي:

شکاف امنيتي بين دامنه‌اي در بدست‌گيرنده(Handler)
 پروتکل Outlook Express MHTML

تاريخ انتشار اوليه : 8  آوريل 2004 ( ۲۰ فرودين ۱۳۸۳)

تاريخ تجديد نظر و اصلاح  : 13  آوريل 2004 ( ۲۵ فرودين ۱۳۸۳)
منبع: US-CERT

سيستمهاي تحت تاثير:

• سيستمهاي ويندوز

چکيده

يک شکاف امنيتي بين دامنه‌اي در Handler پروتکل MHTML که به حمله‌کننده اجازه اجراي کد دلخواه را با حقوق فردي که آن را طلب کرده است، مي‌دهد. نفوذکننده بعلاوه ممکن است بتواند ديتاي روي وب‌سايتهاي ساير دامنه‌ها را بخواند و دستکاري کند.

توضيح

يک شکاف امنيتي در مسير Handler پروتکل MIME که دامنه امنيتي ديتاي رجوع داده شده توسط URL‌ مشخص‌کننده محل ديگر را تعيين مي‌کند، وجود دارد. هنگامي که  MHTML Handler‌ يک فايل خارج از دسترس يا ناموجود را آدرس مي‌دهد، مي‌تواند به فايلي از مکاني ديگر دست يابد. MHTML Handler به نادرستي با اين فايل رفتار مي‌کند انگار که در همان محل فايل ناموجود بوده است.

اين MHTML Handler بعنوان بخشي از Outlook Express مطرح است و بطور پيش‌فرض روي همه سيستمهاي ويندوز فعلي نصب مي‌گردد. اين Handler‌ يک جزء اشتراکي ويندوز است. هر برنامه‌اي که ارجاع پروتکل MHTML به سيستم عامل را با خود دارد، Handler را مطالبه مي‌کند (معمولا توسط IE).

شماره CVE اختصاص داده‌شده CAN-2004-0380 است.

تاثير

با متعاقد کردن يک کاربر براي ديدن يک فايل HTML همچون يک صفحه وب يا پيام به فرمت HTML ، نفوذگر مي‌تواند به ديتا دسترسي يابد يا اسکريپتي را در يک دامنه امنيتي متفاوت از دامنه‌اي که دربردارنده فايلهاي نفوذگر است، اجرا نمايد. نفوذگر همچنين ممکن است بتواند ديتاي ساير وب‌سايتها را بخواند يا تغيير دهد.

کد بهره‌برداري از اين آسيب‌پذيري در دسترس عموم قرار دارد و گزارشهاي استفاده از اين آسيب‌پذيري نيز منتشر شده است. اسب‌ترواي Ibiza، انواع W32/Bugbear و ‌BloodHound.Exploit.6 مثالهايي از کدهاي آسيب‌رسان هستند که از اين شکاف امنيتي بهره مي‌برند.

  هنگام ارجاع به يک فايل MHTML ناموجود يا غيرقابل دسترس با استفاده از پروتکهاي ITS و mhtml:، IE مي‌تواند به يک فايل CHM (Compiled HTML Help) از يک محل ديگر دسترسي يابد. بدليل وجود اين شکاف امنيتي در  MHTML Handler ، IE‌ به نادرستي با فايل CHM طوري رفتار مي‌کند انگار که در همان دامنه فايل MHTML ناموجود قرار دارد. با استفاده از يک URL  دستکاري شده، يک نفوذگر مي‌تواند باعث اجراي اسکريپت دلخواه در فايل CHM در يک دامنه ديگر گردد.

راه حل

• اعمال Patch ارائه شده توسط ميکروسافت در بولتن امنيتي MS04-013
• بنظر ميرسد از کار انداختن protocol handler هاي ITS و MHTML ، جلوي بهره‌برداري از اين شکاف امنيتي را مي‌گيرد. اين کليدها را در رجيستري تغيير دهيد يا حذف کنيد:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\

{ms-its,ms-itss,its,mk,mhtml}

• ازکار انداختن اين Handlerها از کارايي سيستم Help ويندوز تا حد زيادي مي‌کاهد و ممکن است عواقب ناخواسته ديگري نيز داشته باشد. بنابراين با نصب patch و اطمينان از صحت کارکرد آن، تغييرات اعمال شده را به حالت قبل برگردانيد.
• URLهاي ناخواسته را که در پيامها يا اتاقهاي گفتگو وجود دارند، دنبال نکنيد.
• نرم‌افزار ضدويروس خود را به‌روز نگاه داريد.