Microsoft Web Client NTLM Authentication Vulnerability Patch (Windows Me) Specifikationer
|
Eliminer en sikkerhedssårbarhed, der kan afsløre beskyttede logon-legitimationsoplysninger
Web Extender Client (WEC) er en komponent, der leveres som en del af Office 2000, Windows 2000 og Windows Me. WEC giver IE mulighed for at se og udgive filer via webmapper, svarende til at se og tilføje filer i en mappe gennem Windows Stifinder. På grund af en implementeringsfejl respekterer WEC ikke IE-sikkerhedsindstillingerne vedrørende, hvornår NTLM-godkendelse vil blive udført. I stedet vil WEC udføre NTLM-godkendelse med enhver server, der anmoder om det. Hvis en bruger etablerede en session med en ondsindet brugers websted, enten ved at browse til webstedet eller ved at åbne en HTML-mail, der startede en session med det, kunne et program på webstedet fange brugerens NTLM-legitimationsoplysninger. Den ondsindede bruger kunne derefter bruge et offline brute-force-angreb til at udlede adgangskoden eller, med specialiserede værktøjer, kunne indsende en variant af disse legitimationsoplysninger i et forsøg på at få adgang til beskyttede ressourcer.