Microsoft Web Client NTLM Authentication Vulnerability Patch (Windows Me) Specifikationer
|
Eliminera en säkerhetsrisk som kan avslöja skyddade inloggningsuppgifter
Web Extender Client (WEC) är en komponent som levereras som en del av Office 2000, Windows 2000 och Windows Me. WEC tillåter IE att visa och publicera filer via webbmappar, på samma sätt som att visa och lägga till filer i en katalog via Utforskaren i Windows. På grund av ett implementeringsfel respekterar WEC inte IE-säkerhetsinställningarna för när NTLM-autentisering kommer att utföras. Istället kommer WEC att utföra NTLM-autentisering med vilken server som helst som begär det. Om en användare etablerade en session med en illvillig användares webbplats, antingen genom att surfa till webbplatsen eller genom att öppna ett HTML-meddelande som initierade en session med den, kan ett program på webbplatsen fånga användarens NTLM-uppgifter. Den illvilliga användaren kan sedan använda en offline brute-force-attack för att härleda lösenordet eller, med specialiserade verktyg, skicka in en variant av dessa referenser i ett försök att komma åt skyddade resurser.