发布日期：2006-10-10
更新日期：2006-10-12

受影响系统：

Microsoft Office 2003 Service Pack 2
Microsoft Office 2003 Service Pack 1
Microsoft Windows XP SP2
Microsoft Windows XP SP1
Microsoft Windows Server 2003 SP1
Microsoft Windows Server 2003
Microsoft Windows 2000SP4
Microsoft XML Core Services 6.0
Microsoft XML Core Services 4.0

描述：

---

BUGTRAQ  ID: 20339
CVE(CAN) ID: CVE-2006-4685

Microsoft Windows是微软发布的非常流行的操作系统。

Microsoft XML核心服务中的XMLHTTP ActiveX控件没有正确地解析HTTP服务器端重定向，远程攻击者可能利用此漏洞非授权访问用户信息。

攻击者可以通过构建特制网页来利用此漏洞，如果用户访问该网页或单击特制电子邮件中的链接，就可能导致信息泄露。成功利用这个漏洞的攻击者可能以在客户端浏览Web用户的权限访问其他域的内容。不过，要利用此漏洞，需要进行用户交互。

<*来源：Microsoft
  
  链接：http://www.microsoft.com/technet/security/Bulletin/MS06-061.mspx
        http://www.us-cert.gov/cas/techalerts/TA06-283A.html
*>

建议：

---

临时解决方法：

* 将Internet和本地intranet安全区设置为“高”以在运行ActiveX控件和活动脚本之前要求提示。

厂商补丁：

Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS06-061）以及相应补丁:
MS06-061：Vulnerabilities in Microsoft XML Core Services Could Allow Remote Code Execution (924191)
链接：http://www.microsoft.com/technet/security/Bulletin/MS06-061.mspx

浏览次数：3417
严重程度：0（网友投票）