Samenvatting

Microsoft heeft een cumulatieve patch uitgebracht voor Microsoft Outlook Express. Deze cumulatieve patch bevat updates voor de problemen die worden beschreven in het volgende artikel in de Microsoft Knowledge Base:

De patch die in dit artikel wordt beschreven, is van toepassing op de volgende versies van Microsoft Outlook Express:

• Microsoft Outlook Express 6.0 Service Pack 1, indien gebruikt met Internet Explorer 6.0 Service Pack 1 onder Microsoft Windows 98 Tweede editie, Microsoft Windows Millennium Edition, Microsoft Windows NT 4.0 Service Pack 6a, Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 Service Pack 3, Microsoft Windows XP (alleen 32-bits versies) en Microsoft Windows XP Service Pack 1 (32-bits of 64-bits versies).
• Microsoft Outlook Express 6.0, indien gebruikt met Internet Explorer 6.0 onder Windows XP (alleen 32-bits versies).
• Microsoft Outlook Express 5.5 Service Pack 2, indien gebruikt met Internet Explorer 5.5 Service Pack 2 onder Windows 98 Tweede editie, Windows Millennium Edition, Windows NT 4.0 Service Pack 6a, Windows 2000 Service Pack 2 en Windows 2000 Service Pack 3 of Internet Explorer 5.01 Service Pack 3 onder Windows 2000 Service Pack 3.

De patch die in dit artikel wordt beschreven, biedt bescherming tegen een zwakke plek in de MHTML URL-handler, aangezien met de MHTML URL-handler elk bestand dat als tekst kan worden weergegeven, kan worden geopend en weergegeven als deel van een pagina in Microsoft Internet Explorer. MHTML staat voor MIME Encapsulation of Aggregate HTML. MHTML is een internetstandaard waarop de MIME-structuur is gebaseerd, die wordt gebruikt voor het verzenden van HTML-inhoud in de tekst van e-mailberichten. De MHTML URL-handler in Windows maakt deel uit van Outlook Express en is voorzien van een URL-type dat op de lokale computer kan worden gebruikt. Met dit URL-type (MHTML://) kunnen MHTML-documenten worden geopend vanaf een opdrachtregel, vanuit Internet Explorer, via de het dialoogvenster Uitvoeren in het menu Start of met behulp van Windows Verkenner.

Vanwege deze zwakke plek in de MHTML URL-handler zou een Uniform Resource Locator (URL) kunnen worden gemaakt die verwijst naar een tekstbestand dat is opgeslagen op de lokale computer en zou dat bestand als HTML kunnen worden weergegeven. Als het tekstbestand script bevat, zou dat script worden uitgevoerd op het moment dat het bestand wordt geopend. Aangezien het bestand zich op de lokale computer bevindt, zou het worden weergegeven in de beveiligingszone van de lokale computer. Voor bestanden die worden geopend in de beveiligingszone van de lokale computer, gelden minder beperkingen dan voor bestanden die in andere beveiligingszones worden geopend.

Via deze methode zouden hackers of kwaadwillende personen kunnen proberen een URL te maken en deze op een website zetten of in een e-mailbericht verzenden. In het geval waarin de URL op een website is gezet en een gebruiker erop klikt, kan een hacker mogelijk de bestanden lezen of openen die al op de lokale computer staan. In het geval waarin de URL via een e-mailbericht is verzonden en de gebruiker werkt met Outlook Express 6.0 of Microsoft Outlook 2002 in de standaardconfiguratie, of met Microsoft Outlook 98 of Microsoft Outlook 2000 met de e-mailbeveiligingsupdate voor Outlook, kan een aanval niet automatisch plaatsvinden. Bovendien moet de gebruiker nog steeds eerst op de URL in het e-mailbericht klikken. Als de gebruiker echter geen gebruikmaakt van Outlook Express 6.0 of Outlook 2002 in de standaardconfiguratie, of Outlook 98 of Outlook 2000 in combinatie met de beveiligingsupdate voor e-mail van Outlook, kan er een aanval plaatsvinden die automatisch wordt uitgevoerd zonder dat de gebruiker op een URL in het e-mailbericht hoeft te klikken. In zowel het web- als het e-mailscenario geldt dat alle beperkingen op de bevoegdheden van de gebruiker tevens de mogelijkheden van het script van een hacker beperken.

Wanneer u de patch uitvoert die in het volgende Microsoft Knowledge Base-artikel wordt beschreven, kunt u verhinderen dat hackers bestanden op de computer van een gebruiker laden of parameters doorsturen naar uitvoerbare bestanden. Dit betekent dat een hacker alleen programma's kan starten die al aanwezig zijn op de computer (als de locatie van het programma bij de hacker bekend is) en niet de parameters kan doorsturen die nodig zijn om het programma uit te voeren.

MHTML is een standaard voor de uitwisseling van HTML-inhoud in e-mail. Daarom is de MHTML URL-handlerfunctie in Outlook Express geïmplementeerd. Internet Explorer kan ook MHTML-inhoud weergeven. De MHTML-functie is echter niet afzonderlijk geïmplementeerd in Internet Explorer. Voor het weergeven van de MHTML-inhoud wordt Outlook Express gebruikt.

Als u meer informatie wilt over deze patch, gaat u naar de volgende Microsoft-website: