CVE-2009-2493
WysokieStreszczenie
Biblioteka Active Template Library (ATL) w Microsoft Visual Studio oraz Windows nieprawidłowo ogranicza użycie OleLoadFromStream przy instancjonowaniu obiektów z strumieni danych. To pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany dokument HTML zawierający komponent lub kontrolkę ATL.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemów i danych organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszych wersji Microsoft Visual Studio oraz Windows, które eliminują tę podatność. Dodatkowo, należy wdrożyć odpowiednie polityki bezpieczeństwa dotyczące otwierania dokumentów HTML z nieznanych źródeł.
Inne podatności w Active Template Library (ATL), Microsoft Visual Studio, Windows
Oryginalny opis (angielski, źródło NVD)
The Active Template Library (ATL) in Microsoft Visual Studio .NET 2003 SP1, Visual Studio 2005 SP1 and 2008 Gold and SP1, and Visual C++ 2005 SP1 and 2008 Gold and SP1; and Windows 2000 SP4, XP SP2 and SP3, Server 2003 SP2, Vista Gold, SP1, and SP2, and Server 2008 Gold and SP2; does not properly restrict use of OleLoadFromStream in instantiating objects from data streams, which allows remote attackers to execute arbitrary code via a crafted HTML document with an ATL (1) component or (2) control, related to ATL headers and bypassing security policies, aka "ATL COM Initialization Vulnerability."