Microsoft Web Client NTLM Authentication Vulnerability Patch (Windows Me) विनिर्देशों
|
सुरक्षित लॉगऑन क्रेडेंशियल्स को प्रकट कर सकने वाली सुरक्षा भेद्यता को हटा दें
वेब एक्सटेंडर क्लाइंट (WEC) एक ऐसा घटक है जो Office 2000, Windows 2000 और Windows Me के हिस्से के रूप में शिप करता है। WEC IE को वेब फ़ोल्डरों के माध्यम से फ़ाइलों को देखने और प्रकाशित करने की अनुमति देता है, जैसे कि विंडोज एक्सप्लोरर के माध्यम से एक निर्देशिका में फ़ाइलों को देखने और जोड़ने के लिए। एक कार्यान्वयन दोष के कारण, WEC IE सुरक्षा सेटिंग्स का सम्मान नहीं करता है कि NTLM प्रमाणीकरण कब किया जाएगा। इसके बजाय, WEC अनुरोध करने वाले किसी भी सर्वर के साथ NTLM प्रमाणीकरण करेगा। यदि किसी उपयोगकर्ता ने किसी दुर्भावनापूर्ण उपयोगकर्ता की वेब साइट के साथ एक सत्र स्थापित किया है, या तो साइट पर ब्राउज़ करके या एक HTML मेल खोलकर जिसने इसके साथ एक सत्र शुरू किया है, तो साइट पर एक एप्लिकेशन उपयोगकर्ता के NTLM क्रेडेंशियल्स को कैप्चर कर सकता है। दुर्भावनापूर्ण उपयोगकर्ता तब पासवर्ड प्राप्त करने के लिए एक ऑफ़लाइन जानवर-बल के हमले का उपयोग कर सकता है या, विशेष उपकरणों के साथ, संरक्षित संसाधनों तक पहुंचने के प्रयास में इन क्रेडेंशियल्स का एक प्रकार प्रस्तुत कर सकता है।