发布日期：2005-06-15
更新日期：2005-06-15

受影响系统：

Microsoft Outlook Express 5.5 SP2
    - Microsoft Windows 2000 SP4
    - Microsoft Windows 2000 SP3
Microsoft Outlook Express 6.0
    - Microsoft Windows XP
    - Microsoft Windows Server 2003
Microsoft Outlook Express 6.0 SP1
    - Microsoft Windows XP 64-bit Edition SP1
    - Microsoft Windows 2000 SP4
    - Microsoft Windows 2000 SP3

描述：

---

BUGTRAQ  ID: 13951
CVE(CAN) ID: CVE-2005-1213

Microsoft Outlook Express是Microsoft Windows操作系统捆绑的邮件和新闻组客户端。

Microsoft Outlook Express的新闻阅读功能中存在远程缓冲区溢出漏洞，可能允许攻击者以当前用户的权限执行任意代码。

具体的说，在发布LIST命令后解析NNTP服务器响应时会触发这个漏洞。位于C:\Program Files\Outlook Express\MSOE.DLL的MSOE.dll中的一个例程中存在栈溢出。以下地址和偏移基于Microsoft Windows 2000 SP4捆绑的MSOE.DLL 5.50.4927.1200版本。在解析以下形式的服务器响应时：

    alt.12hr 0<LONG STRING>000001325 0000001322 y\r\n
    FIELD1   FIELD2                  FIELD3     FIELD4 TERMINATOR

用到了各种字符串解析循环调用CharNext()和IsSpace()例程来判断空白字符所确定字段的长度，由StrCpy()将FIELD2拷贝到静态的16字节栈缓冲区：

    SUB_6AED247A()
    ...
    6AED268B mov eax, ebx                    ; eax = start of FIELD2
    6AED268D lea edi, [ebp+buff]             ; edi = stack variable
    6AED2690 sub eax, esi                    ; esi = end of FIELD2
    6AED2692 mov ecx, eax                    ; ecx = length of FIELD2
    6AED2694 mov edx, ecx                    ; edx = length of FIELD2
    6AED2696 shr ecx, 2
    6AED2699 rep movsd                       ; *** overflow occurs here
    6AED269B mov ecx, edx
    6AED269D and ecx, 3
    6AED26A0 rep movsb                       ; copy remaining bytes
    6AED26A2 and byte ptr [ebp+eax+buff], 0  ; null terminate the string

然后将拷贝的缓冲区传送给例程StrToIntA()。位于0x6AED2699的rep movsd指令可以导致栈溢出。攻击者可以覆盖栈存储的SEH来改变执行流，最终导致执行任意代码。

<*来源：iDEFENSE
  
  链接：http://www.idefense.com/application/poi/display?id=263&type=vulnerabilities
        http://www.microsoft.com/technet/security/Bulletin/MS05-030.mspx
        http://www.us-cert.gov/cas/techalerts/TA05-165A.html
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 在119 TCP和119 UDP端口上阻断网络新闻传输协议(NNTP)通讯。
* 在受影响系统上使用IPSec阻断受影响的端口。  
* 不要连接到不可信任的新闻组服务器。

厂商补丁：

Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS05-030）以及相应补丁:
MS05-030：Cumulative Security Update in Outlook Express (897715)
链接：http://www.microsoft.com/technet/security/Bulletin/MS05-030.mspx

浏览次数：4482
严重程度：0（网友投票）