微软昨日证实,他们正在调查一个新的0day漏洞,该漏洞存在于MHTML中,会导致信息泄露,影响所有Windows平台,包括Windows XP、Vista、Windows 7和所有版本的Windows Server。 该漏洞是由于MHTML解析文档中内容模块的MINE格式请求的方式所造成的,该漏洞可以允许攻击者在错误的安全上下文中执行脚本。成功利用该漏洞的攻击者能在用户的IE实例中注入客户端脚本,该脚本会导致内容欺诈、信息泄露或采取其它任何行动。
微软表示,网上已经出现了利用该漏洞进行攻击的代码示例,不过当前并未见到任何用户受到攻击。微软当前正在调查这个漏洞,很快就会发布修复该漏洞的补丁。在安全公告2501696中,微软提供了一个修复攻击,用户可以执行该工具来锁定MHTML协议。