绿盟安全月刊->第31期->最新漏洞 MSN Messenger OCX控件远程缓冲区溢出漏洞

日期：2002-04-18

更新日期: 2002-5-10
受影响的系统:  
Microsoft MSN Chat Control
    - Microsoft Windows XP
    - Microsoft Windows NT 4.0
    - Microsoft Windows ME
    - Microsoft Windows 98 SE
    - Microsoft Windows 98
    - Microsoft Windows 2000
Microsoft MSN Messenger 4.5
    - Microsoft Windows XP
    - Microsoft Windows NT 4.0
    - Microsoft Windows ME
    - Microsoft Windows 98 SE
    - Microsoft Windows 98
    - Microsoft Windows 2000
Microsoft MSN Messenger 4.6
    - Microsoft Windows XP
    - Microsoft Windows NT 4.0
    - Microsoft Windows ME
    - Microsoft Windows 98 SE
    - Microsoft Windows 98
    - Microsoft Windows 2000
Microsoft Exchange Instant Messenger 4.5
    - Microsoft Windows XP
    - Microsoft Windows NT 4.0
    - Microsoft Windows ME
    - Microsoft Windows 98 SE
    - Microsoft Windows 98
    - Microsoft Windows 2000
Microsoft Exchange Instant Messenger 4.6
    - Microsoft Windows XP
    - Microsoft Windows NT 4.0
    - Microsoft Windows ME
    - Microsoft Windows 98 SE
    - Microsoft Windows 98
    - Microsoft Windows 2000

描述:
--------------------------------------------------------------------------

CVE(CAN) ID: CAN-2002-0155

MSN Messenger是一款Microsoft公司分发和维护的即时信息服务程序。其中MSN
Messenger OCX控件可以安装在Microsoft Internet Explorer中。

MSN Messenger OCX在参数处理上存在漏洞，可导致远程攻击者以登录MSN用户的权限在目标系统上执行任意命令。

MSN Chat control是一款ActiveX控件允许多组用户聚集在单一、虚拟位置在线进行信息交互，可以在MSN站点独立下载，也可以把MSN Messenger 4.5和Exchange Instant Messenger一起安装。程序对ResDLL参数没有很好的进行边界缓冲检查，通过提供一超长的缓冲数据，可以覆盖堆栈信息，包括返回地址，精心构建缓冲数据可导致远程攻击者以登录MSN用户的权限在目标系统上执行任意指令。

注：即使用户没有安装Messenger，从codebase标记调用的ActiveX控件可以提示用户以Microsoft的信任书安装控件。

<*来源：Marc Maiffret （marc@eeye.com）
  
  链接：http://archives.neohapsis.com/archives/bugtraq/2002-05/0058.html
        http://www.microsoft.com/technet/security/bulletin/MS02-022.asp
*>

测试程序：
--------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！


Marc Maiffret （marc@eeye.com）提供了如下测试方法：

<object classid="clsid:9088E688-063A-4806-A3DB-6522712FC061" width="455" height="523">
<param name="_cx" value="12039">
<param name="_cy" value="13838">
<param name="BackColor" value="50331647">
<param name="ForeColor" value="43594547">
<param name="RedirectURL" value="">
<param name="ResDLL" value="AAAAAAA[27,257 bytes is where the EIP starts]">
</object>

--------------------------------------------------------------------------
建议:

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 设置浏览器禁用ActiveX功能。

厂商补丁：

Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS02-022）以及相应补丁:
MS02-022：Unchecked Buffer in MSN Chat Control Can Lead to Code Execution (Q321661)
链接：http://www.microsoft.com/technet/security/bulletin/MS02-022.asp

补丁下载：

    * Download locations for the patch:
       http://www.microsoft.com/Downloads/Release.asp?ReleaseID=38790


     Download Locations for Updated Software Versions


     * Download location for updated version of MSN Chat control:
       http://chat.msn.com

     * Download location for updated version of MSN Messenger with the
       corrected control:
       http://messenger.msn.com/download/download.asp?client=1&update=1

     * Download location for updated version of Exchange Instant Messenger
       with the corrected control:
       http://www.microsoft.com/Exchange/downloads/2000/IMclient.asp