Microsoft Works文件转换器节头索引表内存破坏漏洞（MS08-011）

涉及程序：
Microsoft Works
 
描述：
Microsoft Works文件转换器节头索引表内存破坏漏洞（MS08-011）
 
详细：
Microsoft Works是微软在早期所发布的文件处理程序。

Works文件转换器在处理节头索引信息时存在漏洞，远程攻击者可能利用此漏洞控制用户系统。

Works文件转换器（wkcvqd01.dll）在将Microsoft Works文档（.wps）转换为富文本格式（RTF）时没有正确地验证节头索引表信息，如果攻击者创建了特制的Works文档文档并修改了其中某些字段（如长度或计数值）的话，就可能触发内存破坏，导致执行任意指令。 网管网www.bitscn.com

<*来源：IBM Internet Security Systems X-Force （http://xforce.iss.net/）

链接：http://secunia.com/advisories/28904
     http://www.microsoft.com/technet/security/Bulletin/MS08-011.mspx?pf=true
     http://www.us-cert.gov/cas/techalerts/TA08-043C.html
*>

网管联盟bitsCN_com

受影响系统：
Microsoft Office 2003 Service Pack 3
Microsoft Office 2003 Service Pack 2
Microsoft Works Suite 2005
Microsoft Works 8.0
 
 
攻击方法：
暂无有效攻击代码
 
解决方案：
临时解决方法： 网管下载dl.bitscn.com

* 通过限制对WKCVQD01.DLL的访问来禁用Works文件转换器的安装拷贝，在命令行运行以下命令：
  
Windows XP： 网管u家u.bitscn@com

Echo y| cacls "%ProgramFiles%\Common Files\Microsoft shared\TextConv\wkcvqd01.dll" /E /P everyone:N

网管网www.bitscn.com

Windows Vista：

网管联盟bitsCN@com

Takeown.exe /f "%ProgramFiles%\Common Files\Microsoft Shared\TextConv\wkcvqd01.dll"
Icacls.exe "%ProgramFiles%\Common Files\Microsoft Shared\TextConv\wkcvqd01.dll" /save %TEMP%\wkcvqd01 _ACL.TXT
Icacls.exe "%ProgramFiles%\Common Files\Microsoft Shared\TextConv\wkcvqd01.dll" /deny everyone:(F)

* 禁止安装WKCVQD01.DLL，在命令行运行以下命令：
  
Windows XP：

网管联盟bitsCN@com

md "%ProgramFiles%\Common Files\Microsoft Shared\TextConv\"
echo Placeholder > "%ProgramFiles%\Common Files\Microsoft Shared\TextConv\wkcvqd01.dll"
Echo y| cacls "%ProgramFiles%\Common Files\Microsoft Shared\TextConv\wkcvqd01.dll" /E /P everyone:N

网管网www_bitscn_com

Windows Vista： 网管联盟bitsCN_com

md "%ProgramFiles%\Common Files\Microsoft Shared\TextConv\"
echo Placeholder > "%ProgramFiles%\Common Files\Microsoft Shared\TextConv\wkcvqd01.dll"
Icacls.exe "%ProgramFiles%\Common Files\Microsoft Shared\TextConv\wkcvqd01.dll" /deny everyone:(F) 网管联盟bitsCN_com

* 不要打开或保存不可信任来源的Microsoft Works文件。 中国网管联盟bitsCN.com

厂商补丁：

Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS08-011）以及相应补丁:
MS08-011：Vulnerabilities in Microsoft Works File Converter Could Allow Remote Code Execution (947081)
链接：http://www.microsoft.com/technet/security/Bulletin/MS08-011.mspx?pf=true