不启动都躺枪，IE 新漏洞可致用户数据泄露

内容简介：安全研究员 John Page 发现了一个 IE 漏洞，它允许黑客利用窃取 Windows 用户的数据。 根据 ZDNet 的介绍，这是一个 XXE（XML 外部实体）漏洞，如果用户打开了黑客特制的 .MHT 格式文件，远程攻击者就可以获取用户...

安全研究员 John Page 发现了一个 IE 漏洞，它允许黑客利用窃取 Windows 用户的数据。

根据 ZDNet 的介绍，这是一个 XXE（XML 外部实体）漏洞，如果用户打开了黑客特制的 .MHT 格式文件，远程攻击者就可以获取用户本地文件，并执行指令探测已安装应用版本信息，例如`C:\Python27\NEWS.txt`可以返回相关版本信息。

这个漏洞最特别的地方在于它不需要在用户启动 IE 的情况下发作，只要受影响的计算机上安装了 IE，那就可以被攻击。究其原因，.MHT 是 IE 用于其网络存档的文件格式，当前主流 Web 浏览器几乎都不支持它，Windows 上所有 .MHT 文件都被默认为使用 IE 打开，所以用户只需双击 Email 或聊天消息中接收的文件，就会中招。

该漏洞影响 Windows 7、10 与 Server 2012 R2，在研究人员将漏洞报告给微软后，对方回复会在之后的更新中“考虑”将其修复。很容易理解微软的做法，毕竟 IE 的 Web 浏览器市场份额现在不到 10%，而且 .MHT 格式也不是常用类型，那么这个漏洞的影响其实并不会很大。

以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

• 【漏洞预警】Coremail邮件系统配置文件信息泄露漏洞
• Safari信息泄露漏洞分析
• IIS短文件名泄露漏洞
• 挖洞经验 | Vine用户隐私信息泄露漏洞（$7560）
• 漏洞预警：Hadoop 未授权访问可导致数据泄露
• Linux kernel 信息泄露漏洞（CVE-2018-16658）

本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。