| Versión | MS02-008 |
|---|---|
| Editor | Microsoft |
| Fecha de lanzamiento | 5 dic 2008 |
| Fecha Agregada | 1 mar 2002 |
| Requisitos del sistema operativo | Windows, Windows NT, Windows 2000 |
| Requisitos | Windows NT/2000 |
| Descargas totales | 39.406 |
| Precio | Free |
Descripción
Microsoft XML Core Services (MSXML) incluye el control XMLHTTP ActiveX, que permite la representación de páginas web en el navegador para enviar o recibir datos XML a través de operaciones HTTP como POST, GET y PUT. El control proporciona medidas de seguridad diseñadas para restringir las páginas web para que solo puedan usar el control para solicitar datos de fuentes de datos remotas.
Existe una falla en la forma en que el control XMLHTTP aplica la configuración de la zona de seguridad de IE a un flujo de datos redirigido devuelto en respuesta a una solicitud de datos de un sitio web. Se produce una vulnerabilidad porque un atacante podría intentar explotar esta falla y especificar una fuente de datos que se encuentra en el sistema local del usuario. El atacante podría usar esto para devolver información del sistema local al sitio web del atacante. Un atacante tendría que atraer al usuario a un sitio bajo su control para aprovechar esta vulnerabilidad. No puede ser explotado por correo electrónico HTML. Además, el atacante tendría que conocer la ruta completa y el nombre de archivo de cualquier archivo que intentara leer. Finalmente, esta vulnerabilidad no otorga al atacante ninguna capacidad para agregar, cambiar o eliminar datos.
