Microsoft Web Client NTLM Authentication Vulnerability Patch (Windows Me) Spesifikasjoner
|
Eliminer et sikkerhetsproblem som kan avsløre beskyttet påloggingsinformasjon
Web Extender Client (WEC) er en komponent som leveres som en del av Office 2000, Windows 2000 og Windows Me. WEC lar IE vise og publisere filer via nettmapper, på samme måte som å vise og legge til filer i en katalog gjennom Windows Utforsker. På grunn av en implementeringsfeil, respekterer ikke WEC IE-sikkerhetsinnstillingene angående når NTLM-autentisering skal utføres. I stedet vil WEC utføre NTLM-autentisering med enhver server som ber om det. Hvis en bruker opprettet en økt med en ondsinnet brukers nettsted, enten ved å surfe til nettstedet eller ved å åpne en HTML-post som startet en økt med det, kan et program på nettstedet fange opp brukerens NTLM-legitimasjon. Den ondsinnede brukeren kan deretter bruke et offline brute-force-angrep for å utlede passordet eller, med spesialiserte verktøy, kunne sende inn en variant av disse legitimasjonene i et forsøk på å få tilgang til beskyttede ressurser.