安全公告CN-SA05-13 发布日期：2005-07-06 安全等级： /upload/p1_23xs25.jpg 公开程度：公共 　　近日，CNCERT/CC注意到一个存在于微软IE浏览器“javaprxy.dll”中的漏洞被发现，攻击者能够利用该漏洞引起用户浏览器崩溃，并执行任意代码。微软已证实了该漏洞的存在，并正在研究解决办法，迄今为止，尚未提供补丁。 　　具体来说，远程攻击者可以构建一个伪造的HTML网页，当用户下载网页，将会触发“javaprxy.dll”堆溢出，从而造成用户浏览器崩溃。而特别构造的对象标记会引起某些COM组件崩溃。 　　之后，法国安全事件响应组（FrSIRT）针对该漏洞提供了验证代码，进一步证实了该漏洞的存在及被利用的可能性。从某种意义上讲，修改相关测试代码并投入实用并不是很烦琐。所以，CNCERT/CC估计，利用该漏洞的恶意代码将会出现。安天实验室也认为，由于测试代码很容易修改，预计会出现相关的蠕虫在网上传播，并提醒用户注意不要点击近日邮件蠕虫携带的恶意URL连接。 　　CNCERT/CC在此提醒您，如果发现或遇到与此漏洞利用相关的可疑情况，请及时向我们报告。 受影响版本： Internet Explorer 5.01 Service Pack 3 on Microsoft Windows 2000 Service Pack 3 Internet Explorer 5.01 Service Pack 4 on Microsoft Windows 2000 Service Pack 4 Internet Explorer 6 Service Pack 1 on Microsoft Windows 2000 Service Pack 3 Internet Explorer 6 Service Pack 1 on Microsoft Windows 2000 Service Pack 4 Internet Explorer 6 Service Pack 1 on Microsoft Windows XP Service Pack 1 Internet Explorer 6 for Microsoft Windows XP Service Pack 2 Internet Explorer 6 Service Pack 1 for Microsoft Windows XP 64-Bit SP1 (Itanium) Internet Explorer 6 for Microsoft Windows Server 2003 Internet Explorer 6 for Microsoft Windows Server 2003 Service Pack 1 Internet Explorer 6 for Microsoft Windows Server 2003 for Itanium-based Systems Internet Explorer 6 for Microsoft Windows Server 2003 with SP1 for Itanium Internet Explorer 6 for Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium) Internet Explorer 6 for Microsoft Windows Server 2003 x64 Edition Internet Explorer 6 for Microsoft Windows XP Professional x64 Edition Internet Explorer 5.5 Service Pack 2 on Microsoft Windows Millennium Edition Internet Explorer 6 Service Pack 1 on Microsoft Windows 98 Internet Explorer 6 Service Pack 1 on Microsoft Windows 98 SE Internet Explorer 6 Service Pack 1 on Microsoft Windows Millennium Edition 解决方案： 　　由于尚未提供补丁，厂商建议将Internet和本地Intranet安全域设置为“高”安全级别。CNCERT/CC建议在补丁发布之前可以考虑使用别的浏览器。 参考信息： http://www.microsoft.com/technet/security/advisory/903144.mspx　　 http://www.frsirt.com/exploits/20050702.iejavaprxyexploit.pl.php 其他信息： 　　CVE编号：CAN-2005-2087　 　　首次发布日期：2005-07-06 　　修订次数：0 安全公告文档编写： 　　CNCERT/CC ----------------------------------------------------------------------------------- 　　CNCERT/CC在发布安全公告信息之前，都力争保证每条公告的准确性和可靠性。然而，采纳和实施公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。 　　在任何情况下，如果您确信您的计算机系统受到危害或是攻击，我们鼓励您及时告知国家计算机网络应急技术处理协调中心： http://www.cert.org.cn/servlet/Incident 　　同时，我们也鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站公布漏洞信息及指导受影响用户采取措施以避免损失。 　　如果您发现本公告存在任何问题，请与我们联系： cncert@cert.org.cn