Microsoft Internet Explorer Document.Write()绕过区域限制漏洞（CNVD-2013-15175）

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2002-10-21

漏洞描述

Microsoft Internet Explorer是微软开发的流行的WEB浏览器。MSIE在访问文档对象时缺少充分的访问控制检查，远程攻击者可以利用这个漏洞在其他域或者安全区域中的执行任意脚本代码。javascript-protocol URL可导致在客户端产生跨站脚本执行攻击，因此Microsoft设计一般阻挡"(NewWindow).document.write"模式，不过，在访问这个模式时可以保存"(NewWindow).document.write"的引用(类似C中的指针)，然后通过调用这个引用而可以绕过安全检查，访问其他域或者安全区域，执行任意脚本代码，获得基于Cookie认证的敏感信息，或者获得本地文件等信息。

解决建议

Microsoft---------Microsoft Internet Explorer 6.0 SP1补丁程序：http://www.microsoft.com/windows/ie/downloads/critical/ie6sp1/default.asp

参考链接
https://www.cnvd.org.cn/flaw/show/CNVD-2013-15175

CVSS3评分 5.0

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 N/A
• 用户交互 N/A
• 可用性 无
• 保密性 部分地
• 完整性 无

AV:N/AC:L/Au:N/C:P/I:N/A:N CWE-ID 漏洞类型