微軟 Internet Explorer javaprxy.dll COM 物件漏洞

微軟 Internet Explorer 被發現存在漏洞，遠端攻擊者可以用這個漏洞去執行一些任意指令。透過一個特製的 HTML 標籤為 Internet Explorer 去建立一個 "javaprxy.dll" COM 物件時，然後利用有惡意的網頁去控制和取得一個有漏洞的系統的完整控制權。


影 響力

遠端執行程式碼
受影響之系統

Internet Explorer 5.01 Service Pack 3 在微軟視窗 2000 Service Pack 3 上運行的版本
Internet Explorer 5.01 Service Pack 4 在微軟視窗 2000 Service Pack 4 上運行的版本
Internet Explorer 6 Service Pack 1 在微軟視窗 2000 Service Pack 3 上運行的版本
Internet Explorer 6 Service Pack 1 在微軟視窗 2000 Service Pack 4 上運行的版本
Internet Explorer 6 Service Pack 1 在微軟視窗 XP Service Pack 1 上運行的版本
Internet Explorer 6 在微軟視窗 XP Service Pack 2 上運行的版本
Internet Explorer 6 Service Pack 1 在微軟視窗 64-位元 SP1 (Itanium) 上運行的版本
Internet Explorer 6 在微軟視窗伺服器 2003 上的運行的版本
Internet Explorer 6 在微軟視窗伺服器 2003 Service Pack 1 上的運行的版本
Internet Explorer 6 在微軟視窗伺服器 2003 Itanium-based 系統上的運行的版本
Internet Explorer 6 在微軟視窗伺服器 2003 SP1 (Itanium) 上的運行的版本
Internet Explorer 6 在微軟視窗 64-位元版本 2003 (Itanium) 上的運行的版本
Internet Explorer 6 在微軟視窗伺服器 2003 x64 版本上的運行的版本
Internet Explorer 6 在微軟視窗 XP 專業 x64 版本上的運行的版本
Internet Explorer 5.5 Service Pack 2 在微軟視窗千禧版上的運行的版本
Internet Explorer 6 Service Pack 1 在微軟視窗 98 上的運行的版本
Internet Explorer 6 Service Pack 1 在微軟視窗 98 SE 上的運行的版本
Internet Explorer 6 Service Pack 1 在微軟視窗千禧版上的運行的版本
解決方案

      在安裝軟體之前，請瀏覽軟體供應商的網頁，以獲得更多詳細資料。

      在微軟發表一個完整的解決方案之前，請考慮他們提議的臨時解決方法。這個臨時解決方法不會修正漏洞，但可以幫助阻止一些已知的攻擊方式。

停止 Javaprxy.dll COM 物件在 Internet Explorer 執行
透過設定控制項的位元，可以在 Internet Explorer 停止嘗試建立 Javaprxy.dll 控制項。

警告：如果不正確使用登錄編輯器，可能會導致嚴重的問題，需要重新安裝作業系統。微軟不會保證你能夠解決由不正確使用登錄編輯器所引起的問題。使用登錄編輯器的風險需要自己承擔。

Javaprxy.dll 控制項的 CLSID 是 ༿D9F3F2-B0E3-11D2-B081-006008039BF0'

設置網際網路和近端內部網路的安全性區域設定為高，在這些區域執行 ActiveX 控制項之前會發出提示。
1. 在 Internet Explorer "工具" 下，選擇 "網際網路選項"。

2. 在 "網際網路選項" 對話盒中，選擇 "安全性" 標籤，然後點選 "網際網路" 圖示。

3. 在 "此區域的安全層級" 下，將控制桿調校至 "高安全性"，這樣會將所有瀏覽網頁的安全性設定為高。

注意： 如果沒有發現控制桿，請選擇預設層級，然後將控制桿調校至 "高安全性"。


變更 Internet Explorer 的網際網路和近端內部網路的安全性區域，在執行或停用 ActiveX 控制項之前發出提示。
1. 在 Internet Explorer "工具" 下，選擇 "網際網路選項"。

2. 選擇 "安全性" 標籤。

3. 點選 "網際網路"，然後選擇 "自訂層級"。

4. 在 "設定" 下的 "ActiveX 控制項與插件" 部份的 "執行 ActiveX 控制項與插件" 下，點選 "提示" 或 "停用"，然後按 "確定"。

5. 點選 "近端內部網路"，然後選擇 "自訂層級"。

6. 在 "設定" 下的 "ActiveX 控制項與插件" 部份的 "執行 ActiveX 控制項與插件" 下，點選 "提示" 或 "停用"，然後按 "確定"。

7. 按 "確定" 兩次返回 Internet Explorer。

取消 Javaprxy.dll COM 物件的登錄
1. 按 "開始"，然後按"執行"，輸入 "regsvr32 /u javaprxy.dll" (沒有引號) 後按 "確定"。

2. 一個對話盒會出現來確定取消登錄程序已經成功執行，按 "確定" 關閉對話盒。

3. 關閉 Internet Explorer 後重開，變更才會生效。

影響： 一些需要微軟 Java 虛擬機器的應用程式可能不能正常地運作。

更改在 Javaprxy.dll 的存取控制列表，設定更多限制
1. 按 "開始"，然後按 "執行"，輸入"cmd" (沒有引號) 後按 "確定"。

2. 在命令指令字元輸入以下指令，記錄目前在檔案上的 ACL (包括繼承設定) 作為日後需要取消更改的參考用途：

cacls %windir%\system32\javaprxy.dll

3. 輸入以下指令去拒絕 "everyone" 群組存取這個檔案：

cacls %windir%\system32\javaprxy.dll /d everyone

4. 關閉 Internet Explorer 後重開，變更才會生效。

影響： 一些需要微軟 Java 虛擬機器的應用程式可能不能正常地運作。

利用軟體限制政策去限制在 Internet Explorer 存取 Javaprxy.dll
在微軟視窗 XP 或之後的版本，你可以新增軟體限制政策去限制在 Internet Explorer 存取 Javaprxy.dll。要新增這個政策，可以使用登錄腳本程式或新增群組政策設定去阻止載入 Javaprxy.dll。

注意：如果不正確使用登錄編輯器，可能會導致嚴重的問題，需要重新安裝作業系統。微軟不會保證你能夠解決由不正確使用登錄編輯器所引起的問題。使用登錄編輯器的風險需要自己承擔。你可以在登錄編輯器 (Regedit.exe) 的說明目錄中的 "變更索引和值" 或 Regedt32.exe 的說明目錄中的 "新增及移除在登錄的資料" 和 "編輯登錄資料"，獲得如何編輯登錄的資料。

我們建議在編輯登錄之前製作備份。

使用以下的 .reg 檔案取消 Javaprxy.dll 在 Internet Explorer 的登錄 。你可以複製以下的文字，在文字編輯器如記事簿中貼上，然後儲存這個檔案，用 .reg 作為檔案名的延伸。

視窗登錄編輯器版本 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers]
"TransparentEnabled"=dword:00000002

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{09687f8a-0ca9-4639-b295-a3f5b5be8fc5}]
"LastModified"=hex(b):50,09,1f,b1,04,4a,c5,01
"Description"="Block javaprxy.dll"
"SaferFlags"=dword:00000000
"ItemData"=hex(2):25,00,77,00,69,00,6e,00,64,00,69,00,72,00,25,00,5c,00,73,00,\
79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6a,00,61,00,76,00,61,00,70,\
00,72,00,78,00,79,00,2e,00,64,00,6c,00,6c,00,00,00

影響： 一些需要微軟 Java 虛擬機器的應用程式可能不會正常地運作。

使用 Java 移除工具移除系統中的微軟 Java 虛擬機器
用戶可以使用微軟 Java 虛擬機器支援網頁中提供的 MSJVM 診斷工具，執行遠端和本機掃瞄去偵測 MSJVM 和與 MSJVM有關的軟體是否存在。

影響： 一些需要微軟 Java 虛擬機器的應用程式可能不會正常地運作。