首頁 -> 安全研究

安全研究

安全漏洞
Windows Vista輸入法狀態判斷錯誤繞過認證獲取訪問漏洞

發布日期:2007-04-05
更新日期:2007-04-06

受影響系統:
Microsoft Windows Vista
描述:
Windows輸入法允許用戶使用標準的101鍵盤輸入中文等雙字節語言。

Windows Vista提供的輸入機制實現上存在設計漏洞,能夠接觸計算機終端或通過終端服務訪問的攻擊者可能利用此漏洞直接獲得主機的管理員權限。

如果一個輸入法被安裝到系統,默認它也會出現在登錄界面或鎖屏狀態中,這時操作系統應該根據自身運行狀態提供不同的功能。然而,Windows Vista沒有正確地檢查當前系統的登錄狀態,錯誤地將一些危險功能提供給了還未登錄進系統的用戶。因此,如果惡意用戶可以接觸物理終端或者通過終端服務會話訪問到受影響系統,通過執行輸入法提供的某些幫助功能訪問系統文件和程序繞過登錄認證機制,直接獲取系統的管理權限。s

此漏洞的利用與具體的各種輸入法功能設計有關,目前已經確認可以利用的輸入法有谷歌拼音輸入法1.0.15.0及以下版本、極點五筆輸入法,其他第三方的輸入法也很可能受此問題影響。Vista自帶輸入法尚未發現存在這一問題。

<*來源:whero
  
  鏈接:http://www.newsmth.net/bbscon.php?bid=124&id=69632
*>

建議:
臨時解決方法:

如果您不能立刻安裝補丁或者升級,NSFOCUS建議您采取以下措施以降低威脅:

* 卸載受影響的輸入法或其他第三方輸入法,使用vista自帶的輸入法如微軟拼音或智能ABC等。

廠商補丁:

Microsoft
---------
目前廠商還沒有提供補丁或者升級程序,我們建議使用此軟件的用戶隨時關注廠商的主頁以獲取最新版本:

http://www.microsoft.com/technet/security/

瀏覽次數:12118
嚴重程度:0(網友投票)
本安全漏洞由綠盟科技翻譯整理,版權所有,未經許可,不得轉載
綠盟科技給您安全的保障
海南七星彩彩票官网