近日安全专家在 IE 11 浏览器上发现了全新漏洞，在处理 .MHT 已保存页面的时候能够让黑客窃取 PC 上的文件。更为重要的是 .MHT 文件格式的默认处理应用程序是 IE 11 浏览器，因此即使将 Chrome 作为默认网页浏览器这个尚未修复的漏洞依然有效。该漏洞是由 John Page 率先发现的，只需要用户双击 .MHT 文件 IE 浏览器中存在的 XXE（XML eXternal Entity）漏洞可以绕过 IE 浏览器的保护来激活 ActiveX 模块。
研究人员表示：“通常情况下，在 IE 浏览器中实例化‘Microsoft.XMLHTTP’这样的 ActiveX 对象的时候会跳出安全警示栏，以提示启用了被阻止的内容。但是使用恶意的
该漏洞是钓鱼网络攻击的理想选择，通过电子邮件或者社交网络传播后可以让恶意攻击者窃取文件或者信息。Page 表示：“这允许远程攻击者窃取本地文件，并且对已经感染的设备进行远程侦查。”不幸的是，目前微软还没有计划解决这个问题，微软反馈称：“我们确定在此产品或服务的未来版本中将考虑修复此问题。目前，我们不会持续更新此问题的修复程序状态，我们已关闭此案例。”
据悉该漏洞适用于 Windows 7/8.1/10 系统。在微软正式修复 IE 11 浏览器上的漏洞之前，推荐用户尤其是企业用户尽量减少通过 IE 11 浏览器下载和点击不明文件。
原创文章，作者：ItWorker，如若转载，请注明出处：https://blog.ytso.com/industrynews/124817.html