Microsoft Web Client NTLM Authentication Vulnerability Patch (Windows Me) Especificações
|
Elimine uma vulnerabilidade de segurança que pode revelar credenciais de logon protegidas
O Web Extender Client (WEC) é um componente fornecido como parte do Office 2000, Windows 2000 e Windows Me. O WEC permite que o IE visualize e publique arquivos por meio de pastas da Web, semelhante à visualização e adição de arquivos em um diretório por meio do Windows Explorer. Devido a uma falha de implementação, o WEC não respeita as configurações de segurança do IE em relação a quando a autenticação NTLM será executada. Em vez disso, o WEC executará a autenticação NTLM com qualquer servidor que a solicite. Se um usuário estabelecer uma sessão com o site de um usuário mal-intencionado, navegando até o site ou abrindo um email HTML que iniciou uma sessão com ele, um aplicativo no site poderá capturar as credenciais NTLM do usuário. O usuário mal-intencionado pode então usar um ataque de força bruta offline para derivar a senha ou, com ferramentas especializadas, pode enviar uma variante dessas credenciais na tentativa de acessar recursos protegidos.