CVE-2017-0012:MSHTML浏览器请求伪造漏洞

概述

MSHTML对js语句处理不当导致请求伪造漏洞,通过漏洞允许客户端自定义任意伪造请求,造成调试信息、调试程序资源共

享等问题。攻击者可以通过构造特定的语句绕过对跨站请求的防护,并且可以通过此漏洞获取敏感信息。

经过测试漏洞存在包括Edge,IE11,360(兼容模式),等浏览器中。

你怎么发现这个漏洞的?

此漏洞在我在调试代码时发现。

跟进

2/16/2017 0:15 AM 向微软通报了该漏洞

2/16/2017 6:12 AM 微软分配CASE

3/3/2017 8:59 AM 微软完成了问题调查并修复了这个问题,但是还未部署

15/3/2017 微软发布更新,分配CVE

参考

https://technet.microsoft.com/zh-cn/library/security/ms17-008.aspx

http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0012

https://www.symantec.com/security_response/vulnerability.jsp?bid=96085&om_rssid=sr-advisories

http://www.securityfocus.com/bid/96085/info

致谢

  • 感谢 secbox 安全团队。
  • 感谢 360SRC 提供的支持。

修改记录

  • 第一版: (2017年2月15日22:36:04)
  • 第二版: (2017年3月3日22:55:55)
  • 第三版:(2017年3月15日12:41:06)