راهنمای امنیتی:

شکاف امنیتی بین دامنه‌ای در بدست‌گیرنده(Handler)
 پروتکل Outlook Express MHTML

تاریخ انتشار اولیه : 8  آوریل 2004 ( ۲۰ فرودین ۱۳۸۳)

تاریخ تجدید نظر و اصلاح  : 13  آوریل 2004 ( ۲۵ فرودین ۱۳۸۳)
منبع: US-CERT

سیستمهای تحت تاثیر:

• سیستمهای ویندوز

چکیده

یک شکاف امنیتی بین دامنه‌ای در Handler پروتکل MHTML که به حمله‌کننده اجازه اجرای کد دلخواه را با حقوق فردی که آن را طلب کرده است، می‌دهد. نفوذکننده بعلاوه ممکن است بتواند دیتای روی وب‌سایتهای سایر دامنه‌ها را بخواند و دستکاری کند.

توضیح

یک شکاف امنیتی در مسیر Handler پروتکل MIME که دامنه امنیتی دیتای رجوع داده شده توسط URL‌ مشخص‌کننده محل دیگر را تعیین می‌کند، وجود دارد. هنگامی که  MHTML Handler‌ یک فایل خارج از دسترس یا ناموجود را آدرس می‌دهد، می‌تواند به فایلی از مکانی دیگر دست یابد. MHTML Handler به نادرستی با این فایل رفتار می‌کند انگار که در همان محل فایل ناموجود بوده است.

این MHTML Handler بعنوان بخشی از Outlook Express مطرح است و بطور پیش‌فرض روی همه سیستمهای ویندوز فعلی نصب می‌گردد. این Handler‌ یک جزء اشتراکی ویندوز است. هر برنامه‌ای که ارجاع پروتکل MHTML به سیستم عامل را با خود دارد، Handler را مطالبه می‌کند (معمولا توسط IE).

شماره CVE اختصاص داده‌شده CAN-2004-0380 است.

تاثیر

با متعاقد کردن یک کاربر برای دیدن یک فایل HTML همچون یک صفحه وب یا پیام به فرمت HTML ، نفوذگر می‌تواند به دیتا دسترسی یابد یا اسکریپتی را در یک دامنه امنیتی متفاوت از دامنه‌ای که دربردارنده فایلهای نفوذگر است، اجرا نماید. نفوذگر همچنین ممکن است بتواند دیتای سایر وب‌سایتها را بخواند یا تغییر دهد.

کد بهره‌برداری از این آسیب‌پذیری در دسترس عموم قرار دارد و گزارشهای استفاده از این آسیب‌پذیری نیز منتشر شده است. اسب‌تروای Ibiza، انواع W32/Bugbear و ‌BloodHound.Exploit.6 مثالهایی از کدهای آسیب‌رسان هستند که از این شکاف امنیتی بهره می‌برند.

  هنگام ارجاع به یک فایل MHTML ناموجود یا غیرقابل دسترس با استفاده از پروتکهای ITS و mhtml:، IE می‌تواند به یک فایل CHM (Compiled HTML Help) از یک محل دیگر دسترسی یابد. بدلیل وجود این شکاف امنیتی در  MHTML Handler ، IE‌ به نادرستی با فایل CHM طوری رفتار می‌کند انگار که در همان دامنه فایل MHTML ناموجود قرار دارد. با استفاده از یک URL  دستکاری شده، یک نفوذگر می‌تواند باعث اجرای اسکریپت دلخواه در فایل CHM در یک دامنه دیگر گردد.

راه حل

• اعمال Patch ارائه شده توسط میکروسافت در بولتن امنیتی MS04-013
• بنظر میرسد از کار انداختن protocol handler های ITS و MHTML ، جلوی بهره‌برداری از این شکاف امنیتی را می‌گیرد. این کلیدها را در رجیستری تغییر دهید یا حذف کنید:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\

{ms-its,ms-itss,its,mk,mhtml}

• ازکار انداختن این Handlerها از کارایی سیستم Help ویندوز تا حد زیادی می‌کاهد و ممکن است عواقب ناخواسته دیگری نیز داشته باشد. بنابراین با نصب patch و اطمینان از صحت کارکرد آن، تغییرات اعمال شده را به حالت قبل برگردانید.
• URLهای ناخواسته را که در پیامها یا اتاقهای گفتگو وجود دارند، دنبال نکنید.
• نرم‌افزار ضدویروس خود را به‌روز نگاه دارید.