即使您使用 Chrome，新的 Internet Explorer 零日漏洞也可以讓您受益

一位安全研究人員在 Internet Explorer 11 處理 .MHT 保存網頁的方式中發現了一個新漏洞，該漏洞可讓黑客竊取您 PC 上的文件。

至關重要的是，由於 Internet Explorer 是 .MHT 文件的默認處理程序，因此即使您使用 Chrome 作為瀏覽網頁的默認設置，未修補的零日漏洞利用仍然有效。

由 John Page 發現，IE 中的 XXE（XML 外部實體）漏洞使用 XML 繞過 Internet Explorer 對激活 ActiveX 模塊的保護，並且只需要用戶雙擊 .MHT 文件（例如，如果某人通過電子郵件或向他們發送消息）文件）。

“通常情況下，當實例化像'Microsoft.XMLHTTP'這樣的ActiveX對象時，用戶會在IE中看到一個安全警告欄，並被提示激活被阻止的內容，”研究人員說。 “但是，當使用惡意 <xml> 標記標籤打開特製的 .MHT 文件時，用戶不會收到此類活動內容或安全欄警告。”

該漏洞是魚叉式攻擊的理想選擇，允許惡意行為者竊取文件或信息。

“這可以讓遠程攻擊者潛在地洩露本地文件並對本地安裝的程序版本信息進行遠程偵察，”佩奇說。

不幸的是，微軟似乎不打算解決這個問題，回應問題的報告說：

“我們確定將在此產品或服務的未來版本中考慮解決此問題。 目前，我們不會提供此問題修復狀態的持續更新，並且我們已經關閉了此案例。”

可以在下面的視頻中看到該漏洞的完整詳細信息，包括可用的概念證明 請點擊這裡.

該漏洞適用於 Windows 7、8 和 10。此時，在 Microsoft 允許我們卸載 IE11 之前，不要單擊您不期望的文件的一般建議可能是最好的防禦措施。

通過 中電網