|滚动|专题|国内|国际|台港澳|上海|文娱|IT|精选|体育|财经|社会|参考|科教卫|图片|

                     >>新闻中心>>IT新闻>>正文

IE又现新安全漏洞
2001年5月22日 09:17

东方网5月22日消息:微软于5月17日公布了Internet Explorer(IE)的两种新安全漏洞。它们分别是:不能正确地检查数字证书;将正在访问的站点以另外一个URL显示-这两种安全漏洞。

如果有人恶意使用这两种安全漏洞的话,将有可能使用户尽管是在访问其它的站点,但看起来却象是访问自己信赖的站点一样。也就是说,可以“冒充Web站点”。但是微软表示,从恶意使用的条件等来看,实际上恶意使用是有困难的。

存在这两种安全漏洞的是IE 5.01和5.5。在此之前的版本是否受此影响尚不清楚。在微软(日本)的网页上显示“日语版IE正在准备当中”(截止至5月18日15时),但是在美国微软的下载站点上已经准备了日语版IE。

可以绕过数字证书的检查

在进行SSL通信时,当浏览器从服务器接收到数字证书时,IE将进行,1)是否过了有效期限;2)正在访问的服务器和证书记载的服务器是否一致;3)是否是从用户可以信赖的认证局发出--等防止冒充的检查作业。但是如果有人使用了本次发现的安全漏洞的话,就可以绕过证书检查。其结果是即使使用不正当的数字证书也可以进行SSL通信。

当然,可以绕过检查的情况是有限制的。首先,在IE的“因特网选项”的“详细设定”中,仅限于选择了“确认取消服务器证书”时才会发生。在默认状态下则不会执行该项目。而且是否可以绕过检查同此前访问了哪些站点,检查了怎样的数字证书有关系。因此,在完全相同的设置下有时也会完全不受影响。

另外,本次发现的安全漏洞只对“服务器证书”的确认有影响,而对于确认代码签名证书等则没有影响。因此,不会给此前公开过的“以微软名义发行假冒数字证书的问题”带来影响。

而且,即使有人恶意使用此安全漏洞,也无法将用户诱导至攻击者的站点上。攻击者要想冒充已有的站点,必须采用改写DNS信息等其它方法。因此实际上要想恶意使用也很困难。

显示和实际不同的URL

如果有人恶意使用另一个安全漏洞,将会在IE的地址栏内显示同用户实际访问站点不同的URL。比如可以使用户尽管实际上在访问攻击者的站点,而在用户的地址栏内显示的却是用户信得过的站点(比如说网上银行等)的URL。

另外,据美国微软公开的信息,甚至可以利用该安全漏洞冒充正当的SSL通话。在地址栏内显示的URL为https://xxxxx/的情况下,可以使浏览器显示出用来表示已经确立SSL通话的“钥匙图形”,如果点击该“钥匙图形”将会显示被冒充的站点的合法数字证书。

但是在这种情况下,要将用户诱导至冒充的站点还需要使用其它的手段,因此在实际运用上有困难。另外,它只能冒充第一页,不能冒充页内的链接。如果点击冒充的链接站点内的网页,在浏览器下面将显示出“真正的”URL,因此用户可以觉察到有人冒充。

除以上两个安全漏洞之外,微软同时公开了已经公布过的被称作“‘主机域名对照’的脆弱性”的安全漏洞的“变种”。它是一种怀有恶意的Web管理者可以读取访问Web站点的用户机器内文件的安全漏洞。但是,能够读取的只是在浏览器打开而且是仅限于“.htm”、“.txt”及“.doc”等的文件,另外还必须指定正确的文件名及地址。

只要使用此次发布的补丁程序,用户就不仅可以防止上述的安全漏洞,而且可以堵住已经公布了的“IE可以任意打开电子邮件的附件”此类严重的安全漏洞。

(日经BP社)
    • 微软发布数字证书安全漏洞的补丁
    • 微软与网景的电子邮件程序存在安全漏洞
    • Outlook存在严重的安全漏洞
    • Hotmail存在安全漏洞?微软称是无中生有
    • Windows媒体播放器被发现有安全漏洞
    • IE安全漏洞引起忧虑




    • 北京申办2008年奥运
      香港小姐竞选
      中央电台封杀田震?
      辽足车祸大揭秘
      方正科技股权大战
      中国足球冲击世界杯
      坚决反对美对台军售
      东方高考热线
      “人权卫士”落选!
      《财富》论坛年会 
      财富论坛-中美关系
      宝钢争创世界一流
      美战机撞毁我军机
      "东方网"案一审纪实
      革命史知识冲关
      日本篡改历史教材
      全国打黑统一行动
      张君等14人被判死刑

      解放日报
      文汇报
      新民晚报
      新闻报
      青年报
      劳动报
      SHANGHAIDAILY
      上海人民广播电台
      上海东方广播电台
      上海电视台
      上海东方电视台
      上海教育电视台
      上海有线电视台
      中国网
      人民日报
      新华网
      中国日报
      中青在线
      中央电视台
      中国上海
      千龙新闻网
      中青网
      中央人民广播电台
      中国国际广播电台
      网上浦东
      上海科技网
      古镇南翔