发布日期：2000-02-24
更新日期：2000-02-24

受影响系统：

Microsoft Internet Explorer 5.5 preview
   - Microsoft Windows 98
   - Microsoft Windows 95
   - Microsoft Windows NT 4.0
Microsoft Internet Explorer 5.01
   + Microsoft Windows 98
   + Microsoft Windows 95
   + Microsoft Windows NT 4.0
   + Microsoft Windows NT 2000.0
Microsoft Internet Explorer 5.0 for Windows NT 4.0
   + Microsoft Windows NT 4.0
Microsoft Internet Explorer 5.0 for Windows 98
   + Microsoft Windows 98
Microsoft Internet Explorer 5.0 for Windows 95
   + Microsoft Windows 95
Microsoft Internet Explorer 5.0 for Windows 2000
   - Microsoft Windows NT 2000.0
Microsoft Internet Explorer 4.1 for Windows NT 4.0
   + Microsoft Windows NT 4.0
Microsoft Internet Explorer 4.1 for Windows 98
   + Microsoft Windows 98
Microsoft Internet Explorer 4.1 for Windows 95
   + Microsoft Windows 95
Microsoft Internet Explorer 4.0 for Windows NT 4.0
   + Microsoft Windows NT 4.0
Microsoft Internet Explorer 4.0 for Windows NT 3.51
   - Microsoft Windows NT 3.5.1
Microsoft Internet Explorer 4.0 for Windows 98
   + Microsoft Windows 98
Microsoft Internet Explorer 4.0 for Windows 95
   + Microsoft Windows 95
Microsoft Internet Explorer 4.0 for Windows 3.1
Microsoft Internet Explorer 4.0 for WfW
   + Microsoft Windows 3.11WfW
Microsoft Outlook 98
   - Microsoft Windows 98
   - Microsoft Windows 95
   - Microsoft Windows NT 4.0
Microsoft Outlook 2000
Microsoft Outlook Express 5.0
   - Microsoft Windows 98
   - Microsoft Windows 95
   - Microsoft Windows NT 4.0
Microsoft Outlook Express 4.72.3612.1700
Microsoft Outlook Express 4.72.3120.0
Microsoft Outlook Express 4.72.2106.4
Microsoft Outlook Express 4.27.3110.1

描述：

---

    当一个已签名控件由信任的供应商安装后，默认情况下，要安装一个ActiveX控件时，都会通知用户是否需要。但是如果安装控件的选项被激活了，而要安装的是一个由Microsoft签字的控件时，安装管理器不会给用户任何提示。

    当使用Microsoft此功能来为用户安装各种软件时，可能就有很多方法来控制系统了。最可能的风险就是攻击者根据一些已知的Microsoft控件的漏洞，在没有任何提示和警告下，不知不觉中将控件安装到用户机器上。此操作可出现在一个恶意Web页面或是一封恶意的HTML email中。

    下面是相关的参考例子：
    http://www.angelfire.com/ab/juan123/iengine.html



建议：

---

临时解决方案（3个方案）

1: 在"Download signed ActiveX"(下载已签名的ActiveX控件)项中选择"disable"(禁用)
   这会防止下载任何已经签名了的ActiveX控件，而不管其来源。

2: "Active Scripting"(活动脚本)项中选择"disable"(禁用)
   这可以禁止所有象Activex、Javascript等的动态内容

3: 在注册表中编辑以下键:
   a: 打开键HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\
   b: 创建一个新键，键名就是Active Setup控制的CLSID.
      {6E449683-C509-11CF-AAFA-00AA00B6015C}
   c: 在此键中创建一个REG_DWORD类型的值，
      名称为"Compatibility Flags"，
      数据为"0x00000400"
      这可以防止来自IE和Outlook的ActiveX安装。

浏览次数：6670
严重程度：0（网友投票）