发布日期：2003-08-13
更新日期：2003-08-15

受影响系统：

Microsoft MCWNDX.OCX

描述：

---

MCWNDX是一款包含在Visual Studio 6支持多媒体编程的ActiveX控件。

MCWNDX控件对"Filename"参数的值缺少充分的缓冲区边界检查，远程攻击者可以利用这个漏洞构建恶意页面，诱使用户访问，触发溢出。

控件使用"Filename"参数用于指定要装载的.mci文件，但是如果这个参数名为超长字符串(640KB)，解析时就会发生缓冲区溢出，攻击者精心构建恶意页面，诱使用户访问，可能以用户权限在系统上执行任意指令。

<*来源：Tri Huynh （trihuynh@zeeup.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=106079604010732&w=2
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 如果你使用Win200或XP删除SYSTEM32目录下的 MCWNDX.ocx，而在Win ME或者Win98中在SYSTEM目录下删除。

厂商补丁：

Microsoft
---------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.microsoft.com/technet/security/

浏览次数：3280
严重程度：2（网友投票）