Выполнение произвольного кода сценария в plain text сообщении в Microsoft Outlook Express

Дата публикации:
29.07.2003
Всего просмотров:
943
Опасность:
Наличие исправления:
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Воздействие:
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Описание: Повторение ранее устраненной уязвимости обнаружено в Microsoft Outlook Express. Удаленный пользователь может послать код сценария в plain text сообщении, который будет выполнен клиентом целевого пользователя.

Удаленный пользователь может внедрить HTML с кодом сценария в plain text e-mail сообщение и послать сообщение Microsoft Outlook Express (OE) пользователю, чтобы OE обработал и выполнил код сценария (если выполнение сценариев разрешено на OE клиенте целевого пользователя), даже если сообщение послано в plain text формате.

Подобная уязвимость была обнаружена в сентябре 2001 года (Alert ID 1002413; CVE CAN-2001-0999) и бы по сообщением была устранена через некоторое время. Пример:

MIME-Version: 1.0
Content-Type: text/plain;
Content-Transfer-Encoding: 7bit
X-Source: 25.07.03 http://www.malware.com

<img dynsrc=javascript:alert()><font color=red>foo
Уязвимость обнаружена в Microsoft Outlook Express 5.5-6.0

Способов устранения обнаруженной уязвимости не существует в настоящее время.

Ссылки: TEXT/PLAIN: ALERT("OUTLOOK EXPRESS")

или введите имя

CAPTCHA