绿盟安全月刊->第13期->最新漏洞 微软安全公告(MS00-059): Java 虚拟机applet安全漏洞

日期：2000-09-12

受影响的系统:  
Microsoft VM 2000系列
Microsoft VM 3100系列
Microsoft VM 3200系列
Microsoft VM 3300系列
   - Microsoft windows 9x
   - Microsoft windows NT
   - Microsoft windows 2000


描述:
--------------------------------------------------------------------------------


Microsoft VM 是Win32环境下的一个虚拟机，它随着微软的Windows操作系统以及IE分发。
在IE 4.x和IE 5.x中所带的Microsoft VM存在一个安全问题，允许恶意站点运行一个
Java applet来发动攻击。

通常一个applet只能与拥有它的web站点通信。但是由于存在一个安全问题，导致applet可以
绕过这种限制。如果用户访问一个恶意攻击者控制的站点，这个站点可以启动一个applet,并
且通过合法用户的主机与其他的站点建立连接，并将内容传回给恶意站点。因此这个漏洞可以
被用来访问防火墙保护后的内部网络或者其他敏感主机。

<*来源：Microsoft Security Bulletin (MS00-059):
        Patch Available for "Java VM Applet" Vulnerability
*>






--------------------------------------------------------------------------------
建议:

微软已经提供了相应的补丁，用户可以通过在命令行窗口下执行jview来判断自己VM是那一系列的：

- Microsoft VM 2000系列：
   安装Microsoft VM build 2446

- Microsoft VM 3100系列：
   更新到build 3309然后安装 3314 安全补丁

- Microsoft VM 3200系列：   
   3200 builds:
   更新到build 3309然后安装 3314 安全补丁
   Builds 3229-3234:
   在安装新的3314补丁以前，需要先安装MS00-011安全公告中所说的安全补丁
   Build 3240:
   安装 3314 安全补丁

- Microsoft VM 3300系列：
   安装 3314 安全补丁

所有的安全补丁都可以在微软的下载中心下载。