Microsoft Windows 8.1 и более ранние версии уязвимы к уязвимости XMLDOM XML Injection в Internet Explorer 6-11

Cert-In, Индийская команда реагирования на компьютерные инциденты, предупредила, что Microsoft Windows 8.1 и его более ранние версии находятся под угрозой из-за уязвимости, существующей в управлении ActiveX XMLDOM. Уязвимость может быть использована через Internet Explorer версии 6 до 11. Хакеры/нападающие могут воспользоваться этой уязвимостью для внедрения XML-кода XMLDOM и получения личной информации пользователей ПК с Windows или превращения ПК с Windows в зомби-компьютер для участия в атаке DoS или DDoS на веб-сайты.

Хотя уязвимость была отмечена как серьезная Cert-In, исследователь из CXSecurity заявил, что это может быть уязвимость среднего уровня. Я воспроизвожу весь код, предоставленный исследователем CXSecurity:

вышеуказанный код напечатан благодаря cxsecurity.com

Обе уязвимости были классифицированы следующим образом:

1. Уязвимость раскрытия информации (CVE-2013-7331)

• Эта уязвимость существует из-за того, что управление ActiveX XMLDOM содержит методы, которые могут раскрывать информацию о компьютерной системе оператору веб-сайта. Удаленный злоумышленник может использовать эту уязвимость для получения конфиденциальной информации, такой как локальные буквы дисков, файлы и имена каталогов, убедив пользователя посетить специально подготовленную веб-страницу и изучив сгенерированные коды ошибок.*
• Cert-in заявил, что эта уязвимость используется в дикой природе, но CXSecurity говорит, что это может привести только к незначительной эксплуатации.

2. Уязвимость отказа в обслуживании (CVE-2013-7332)

• Эта уязвимость существует из-за неправильного определения рекурсии во время расширения сущностей. Удаленный злоумышленник может использовать эту уязвимость, убедив пользователя посетить подготовленный XML-документ, содержащий большое количество вложенных ссылок на сущности, чтобы вызвать потребление памяти и ЦП, что приведет к условиям отказа в обслуживании (DoS). Затем машину можно превратить в «зомби-компьютер» для запуска атаки отказа в обслуживании (DoS) в дикой природе или целенаправленной атаки распределенного отказа в обслуживании (DDoS).*
• На данный момент Microsoft не выпустила никаких исправлений/патчей для этих уязвимостей, но существует обходной путь, если вы хотите защитить свой компьютер. Вам нужно установить настройки зоны безопасности Интернета и локальной интрасети в настройках Internet Explorer на «Высокий». Это отключит как управление ActiveX XMLDOM, так и активное скриптование в вашем Internet Explorer, и скрипты не смогут выполняться.