微软安全公告MS02-054 -------------------------------------------------------------------------------- 受影响的软件: Microsoft Windows 98 with Plus! Pack Microsoft Windows Me Microsoft Windows XP 版本：如上所列 微软安全快速反应中心已经发布的微软安全公告 MS02-054，内容关于一些特定微软Windows操作系统中最新薄弱环节的补丁。建议客户仔细阅读我们的公告。如果可以运行的话，对运行环境进行测试、并应用这个补丁。 薄弱环节： 两个薄弱环节，其中最严重的一个可以根据攻击者的选择运行代码。 技术细节： Zip文件(以.zip扩展名结尾的文件)提供一种以较少的硬盘空间来存储信息的方法。 这是通过压缩最终放入zip文件的文档来完成的。在装有Plus!包的Windows 98、Windows Me和Windows XP上，“压缩文件夹”功能允许将zip文件视作普通文件夹处理。“压缩文件夹”功能被用于创建zip文件，添加文档到zip文件中和解压缩zip文件。 有两个薄弱环节存在于“压缩文件夹”功能中: 在解压缩一个zip文件时会有一个未经检查的缓冲存在于程序中以存放被解压文件。一个安全隐患由此而生，因为在试图以一个特殊而又畸形的文件名（包含在一个zip文件中）打开一个文件时很可能会导致浏览器崩溃，或者导致攻击者的代码被运行。解压缩功能会在一个非用户指定目录中放置文件，也就是说这个文件放在了一个不该放的位置，既不是用户指定的目录，也不是其子目录。这就可使攻击者在一个用户系统已知的位置放置文件，比如在“开始”目录中放置一个程序。 如何防止： 此薄弱环节不会再没有用户参与的情况下被利用，攻击者会诱使用户接收、存储和打开攻击者提供的zip文件。此薄弱环节不会被远程利用。攻击者会诱使用户接收zip文件到用户主机上。最佳实践建议用户不要从不信任的人那里接收邮件附件，也不要从不信任的互联网站点上下载文件。 在Windows 98和Windows Me上，“压缩文件夹”功能没有被默认安装。没有安装此功能的用户不会受到攻击。 相关知识库文章：Q316333 安全公告栏链接： http://www.microsoft.com/technet/security/bulletin/ms02-054.asp 这个站点是本公告的权威站点。 若要得到本公告的更多信息，请访问 http://www.microsoft.com/technet/security