MS02-013: Aplet Java może przekierowywać ruch przeglądarki

Tłumaczenia artykułów Tłumaczenia artykułów
Numer ID artykułu: 300845 - Zobacz jakich produktów dotyczą zawarte w tym artykule porady.
Ten artykuł został zarchiwizowany. Jest oferowany „taki, jaki jest” i nie będzie już aktualizowany.
Uwaga
Aktualizacja maszyny wirtualnej Microsoft (Microsoft VM), która była wcześniej wymieniona w tym artykule, nie jest już dostępna. Aby uzyskać więcej informacji, odwiedź następujące strony firmy Microsoft w sieci Web:
http://www.microsoft.com/mscorp/java/default.mspx
http://support.microsoft.com/gp/lifean12
Rozwiń wszystko | Zwiń wszystko

Symptomy

W zabezpieczeniach maszyny wirtualnej Microsoft (Microsoft VM) istnieje luka, która może umożliwić specjalnie przygotowanemu apletowi Java przekierowywanie w niewidoczny sposób całego ruchu przeglądarki na hosta apletu bez wiedzy użytkownika. Uzyskanie dostępu do przekierowanego ruchu przeglądarki pozwala osobie atakującej wykorzystać go między innymi do następujących celów:
  • Przetwarzanie żądań przeglądarki.
  • Rejestrowanie informacji na temat sesji.
  • Przekazywanie żądań do miejsc docelowych.
UWAGA: W ten sposób osoba o złośliwych zamiarach może rejestrować informacje na temat sesji użytkownika w celu wyszukiwania nazw użytkownika, haseł i numerów kart kredytowych, które są przesyłane w postaci zwykłego (niezaszyfrowanego) tekstu.

Złośliwy aplet usiłujący wykorzystać tę lukę w zabezpieczeniach jest aktywny do czasu zamknięcia wszystkich wystąpień programu Internet Explorer.

Tę lukę można wykorzystać tylko wtedy, gdy program Microsoft Internet Explorer jest skonfigurowany do uzyskiwania dostępu do zasobów internetowych za pośrednictwem serwera proxy. Użytkownicy przeglądarek, w których serwer proxy jest wyłączony, nie są zagrożeni tą luką w zabezpieczeniach.

Jeśli w ramach ataku z wykorzystaniem tej luki zostanie przechwycony zabezpieczony ruch HTTP (HTTPS), to odczytanie go nie będzie możliwe, ponieważ ruch HTTPS jest szyfrowany przy użyciu protokołu SSL. Nazwy użytkownika i hasła przesyłane za pośrednictwem protokołu HTTPS są bezpieczniejsze od informacji wysyłanych w postaci zwykłego tekstu przez protokół HTTP.

Przyczyna

Występowanie tej luki w zabezpieczeniach jest związane ze sposobem obsługi niektórych żądań usługi serwera proxy w programie Java. W przypadku skonfigurowania usług serwera proxy w programie Internet Explorer specjalnie przygotowany program Java (czasami nazywany apletem) może przekazywać ruch przeglądarki z wykorzystaniem tej luki.

Stan

Firma Microsoft potwierdziła, że ten problem może w pewnym stopniu wpływać na bezpieczeństwo maszyny wirtualnej Microsoft. Ten problem został po raz pierwszy rozwiązany w dodatku Service Pack 3 dla systemu Windows 2000.

Więcej informacji

Aby określić numer kompilacji maszyny Microsoft VM na komputerze z systemem Windows 98, Windows 98 Second Edition (SE) lub Windows Millennium Edition (ME), należy wykonać następujące czynności:
  1. Kliknij przycisk Start, a następnie kliknij polecenie Uruchom.
  2. W polu tekstowym Otwórz wpisz polecenie command, a następnie kliknij przycisk OK.
  3. W wierszu polecenia wpisz następujące polecenie, a następnie naciśnij klawisz ENTER:
    jview
    Informacje o wersji zostaną wyświetlone w pierwszym wierszu w postaci „Version n.nn.nnnn”, gdzie wartość nnnn to numer kompilacji. Na przykład wersja 5.00.3802 oznacza kompilację maszyny Microsoft VM o numerze 3802.
Aby określić numer kompilacji maszyny Microsoft VM na komputerze z systemem Windows NT 4.0, Windows 2000 lub Windows XP, należy wykonać następujące czynności:
  1. Kliknij przycisk Start, a następnie kliknij polecenie Uruchom.
  2. W polu tekstowym Otwórz wpisz polecenie cmd, a następnie kliknij przycisk OK.
  3. W wierszu polecenia wpisz następujące polecenie, a następnie naciśnij klawisz ENTER:
    jview
    Informacje o wersji zostaną wyświetlone w pierwszym wierszu w postaci „Version n.nn.nnnn”, gdzie wartość nnnn to numer kompilacji. Na przykład wersja 5.00.3802 oznacza kompilację maszyny Microsoft VM o numerze 3802.

Materiały referencyjne

Aby uzyskać więcej informacji na temat tej luki w zabezpieczeniach, odwiedź następujące witryny firmy Microsoft w sieci Web:
http://technet.microsoft.com/en-us/security/bulletin/ms02-013

http://technet.microsoft.com/en-us/security/bulletin/ms03-011
Aby uzyskać dodatkowe informacje o maszynie wirtualnej Microsoft, kliknij poniższy numer artykułu w celu wyświetlenia tego artykułu z bazy wiedzy Microsoft Knowledge Base:
169803 INFORMACJE: Historyczna lista metod dostarczania maszyny Microsoft VM (strona może być w języku angielskim)
Aby uzyskać informacje dotyczące pomocy technicznej dla programu Visual J++ i zestawu SDK dla środowiska Java, odwiedź następującą witrynę firmy Microsoft w sieci Web:
http://www.microsoft.com/java
Uwaga: Niniejszy artykuł, przeznaczony do „SZYBKIEJ PUBLIKACJI”, został utworzony bezpośrednio przez organizację pomocy technicznej firmy Microsoft. Zawarte w nim informacje są udostępniane „w stanie takim, w jakim są” w odpowiedzi na pojawiające się problemy. W wyniku przyspieszonego trybu udostępniania materiały mogą zawierać błędy typograficzne i mogą zostać poprawione w dowolnym momencie bez uprzedzenia. Więcej informacji można znaleźć w Warunkach użytkowania.

Właściwości

Numer ID artykułu: 300845 - Ostatnia weryfikacja: 27 marca 2014 - Weryfikacja: 1.0
Informacje zawarte w tym artykule dotyczą:
  • Maszyna wirtualna dla języka Java firmy Microsoft na następujących platformach
    • Microsoft Windows Millennium Edition
    • Microsoft Windows 98 Standard Edition
Słowa kluczowe: 
kbarchive kbqfe kbbug kbfix kbjava kbsecbulletin kbsechack kbsecurity kbsecvulnerability kbwin2000sp3fix KB300845

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com