| Versi | MS02-008 |
|---|---|
| Penerbit | Microsoft |
| Tarikh pelepasan | 5 Dis 2008 |
| Tarikh ditambahkan | 1 Mac 2002 |
| Keperluan Os | Windows, Windows NT, Windows 2000 |
| Keperluan | Windows NT/2000 |
| Jumlah muat turun | 19,942 |
| Harga | Free |
Penerangan
Perkhidmatan Teras XML Microsoft (MSXML) termasuk kawalan ActiveX XMLHTTP, yang membenarkan pemaparan halaman web dalam penyemak imbas menghantar atau menerima data XML melalui operasi HTTP seperti POST, GET dan PUT. Kawalan menyediakan langkah keselamatan yang direka untuk menyekat halaman web supaya mereka hanya boleh menggunakan kawalan untuk meminta data daripada sumber data jauh. Kecacatan wujud dalam cara kawalan XMLHTTP menggunakan tetapan zon keselamatan IE kepada aliran data diubah hala yang dikembalikan sebagai tindak balas kepada permintaan data daripada tapak web. Kerentanan terhasil kerana penyerang boleh cuba mengeksploitasi kelemahan ini dan menentukan sumber data yang ada pada sistem setempat pengguna. Penyerang kemudiannya boleh menggunakan ini untuk mengembalikan maklumat daripada sistem setempat ke tapak web penyerang. Penyerang perlu menarik pengguna ke tapak di bawah kawalannya untuk mengeksploitasi kelemahan ini. Ia tidak boleh dieksploitasi oleh e-mel HTML. Di samping itu, penyerang perlu mengetahui laluan penuh dan nama fail mana-mana fail yang dia akan cuba baca. Akhir sekali, kelemahan ini tidak memberikan penyerang sebarang keupayaan untuk menambah, menukar atau memadam data.