Microsoft XML 2.0 Core Services Vulnerability Patch

説明

Microsoft XML コア サービス (MSXML) には XMLHTTP ActiveX コントロールが含まれています。これにより、ブラウザーで表示される Web ページは、POST、GET、PUT などの HTTP 操作を介して XML データを送受信できます。このコントロールは、Web ページを制限するように設計されたセキュリティ対策を提供し、コントロールを使用してリモート データ ソースからのデータを要求することしかできないようにします。

Web サイトからのデータ要求に応答して返されるリダイレクトされたデータ ストリームに、XMLHTTP コントロールが IE セキュリティ ゾーン設定を適用する方法に問題が存在します。攻撃者がこの欠陥を悪用して、ユーザーのローカル システムにあるデータ ソースを指定しようとする可能性があるため、脆弱性が発生します。攻撃者はこれを使用して、ローカル システムから攻撃者の Web サイトに情報を返す可能性があります。攻撃者がこの脆弱性を悪用するには、ユーザーを自分の管理下にあるサイトに誘導する必要があります。 HTML メールでは悪用できません。さらに、攻撃者は、読み取ろうとするファイルのフル パスとファイル名を知っている必要があります。最後に、この脆弱性により、攻撃者がデータを追加、変更、または削除することはできません。