|
欢迎进入反病毒社区论坛，与技术人员互动交流进入
受影响系统：
Microsoft Office XP SP3
Microsoft Office Converter Pack
Microsoft Office 2003 Service Pack 2
Microsoft Office 2000 SP3
Microsoft Works 8.0
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 30600
CVE(CAN) ID: CVE-2008-3460 Microsoft Office是非常流行的办公软件套件。 Office的WPGIMP32.FLT模块没有正确地处理office文档中的WPG图形，如果用户受骗打开该文件就可能触发堆溢出，导致执行任意指令。 默认下Office产品没有注册WPG或WP文件类型，系统会提示用于选择打开文件所用的应用程序；而Microsoft Web Service不会提示打开这些扩展名文件所需的应用程序。 <*来源：Damian Put （pucik@cc-team.org）
链接：http://secunia.com/advisories/31336/
http://www.microsoft.com/technet/security/bulletin/MS08-044.mspx?pf=true
http://www.us-cert.gov/cas/techalerts/TA08-225A.html
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=737
*> 建议：
--------------------------------------------------------------------------------
临时解决方法： * 修改存取控制表以拒绝所有用户对WPG32.FLT的访问 1. 单击“开始”，单击“运行”，键入regedit.exe，然后单击“确定”。
2. 导航到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\Graphics Filters\Import\WPG。
3. 记下Path的值。 在资源管理器中，导航到作为Path的值列出的WPG32.FLT文件。
4. 右键单击WPG32.FLT文件并选择“属性”。
5. 在“安全”选项卡上单击“高级”。
6. 取消选择“允许可继承的权限从父对象传送到此对象...”并单击“删除”。
7. 单击“确定”、“是”和“确定”。 脚本方法
对于Windows XP的所有受支持的32位版本，通过命令提示符运行以下命令
cacls "%ProgramFiles%\Common Files\Microsoft Shared\GRPHFLT\WPGIMP32.FLT" /E /P everyone:N 对于Windows XP的所有受支持的基于x64的版本，通过命令提示符运行以下命令：
cacls "%ProgramFiles(x86)%\Common Files\Microsoft Shared\GRPHFLT\WPGIMP32.FLT" /E /P everyone:N 对于Windows Vista和Windows Server 2008的所有受支持的32位版本，以管理员身份通过命令提示符运行下列命令：
takeown /f "%ProgramFiles%\Common Files\Microsoft Shared\GRPHFLT\WPGIMP32.FLT"
icacls "%ProgramFiles%\Common Files\Microsoft Shared\GRPHFLT\WPGIMP32.FLT" /save %TEMP%\WPG IMP32 _ACL.TXT
icacls "%ProgramFiles%\Common Files\Microsoft Shared\GRPHFLT\WPGIMP32.FLT" /deny everyone:(F) 对于Windows Vista和Windows Server 2008的所有受支持的基于x64的版本，以管理员身份通过命令提示符运行下列命令：
takeown /f "%ProgramFiles(x86)%\Common Files\Microsoft Shared\GRPHFLT\WPGIMP32.FLT"
icacls "%ProgramFiles(x86)%\Common Files\Microsoft Shared\GRPHFLT\WPGIMP32.FLT" /save %TEMP%\WPG IMP32 _ACL.TXT
icacls "%ProgramFiles(x86)%\Common Files\Microsoft Shared\GRPHFLT\WPGIMP32.FLT" /deny everyone:(F) * 不要打开或保存从不受信任来源或从受信任来源意外收到的文档。 厂商补丁： Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS08-044）以及相应补丁:
MS08-044：Vulnerabilities in Microsoft Office Filters Could Allow Remote Code Execution (924090)
链接：http://www.microsoft.com/technet/security/bulletin/MS08-044.mspx?pf=true
www.china-antivirus.com
|
