微软 Internet Explorer javaprxy.dll COM 物件漏洞

微软 Internet Explorer 被发现存在漏洞，远端攻击者可以用这个漏洞去执行一些任意指令。透过一个特制的 HTML 标签为 Internet Explorer 去建立一个 "javaprxy.dll" COM 物件时，然后利用有恶意的网页去控制和取得一个有漏洞的系统的完整控制权。


影 响力

远端执行程式码
受影响之系统

Internet Explorer 5.01 Service Pack 3 在微软视窗 2000 Service Pack 3 上运行的版本
Internet Explorer 5.01 Service Pack 4 在微软视窗 2000 Service Pack 4 上运行的版本
Internet Explorer 6 Service Pack 1 在微软视窗 2000 Service Pack 3 上运行的版本
Internet Explorer 6 Service Pack 1 在微软视窗 2000 Service Pack 4 上运行的版本
Internet Explorer 6 Service Pack 1 在微软视窗 XP Service Pack 1 上运行的版本
Internet Explorer 6 在微软视窗 XP Service Pack 2 上运行的版本
Internet Explorer 6 Service Pack 1 在微软视窗 64-位元 SP1 (Itanium) 上运行的版本
Internet Explorer 6 在微软视窗伺服器 2003 上的运行的版本
Internet Explorer 6 在微软视窗伺服器 2003 Service Pack 1 上的运行的版本
Internet Explorer 6 在微软视窗伺服器 2003 Itanium-based 系统上的运行的版本
Internet Explorer 6 在微软视窗伺服器 2003 SP1 (Itanium) 上的运行的版本
Internet Explorer 6 在微软视窗 64-位元版本 2003 (Itanium) 上的运行的版本
Internet Explorer 6 在微软视窗伺服器 2003 x64 版本上的运行的版本
Internet Explorer 6 在微软视窗 XP 专业 x64 版本上的运行的版本
Internet Explorer 5.5 Service Pack 2 在微软视窗千禧版上的运行的版本
Internet Explorer 6 Service Pack 1 在微软视窗 98 上的运行的版本
Internet Explorer 6 Service Pack 1 在微软视窗 98 SE 上的运行的版本
Internet Explorer 6 Service Pack 1 在微软视窗千禧版上的运行的版本
解决方案

      在安装软体之前，请浏览软体供应商的网页，以获得更多详细资料。

      在微软发表一个完整的解决方案之前，请考虑他们提议的临时解决方法。这个临时解决方法不会修正漏洞，但可以帮助阻止一些已知的攻击方式。

停止 Javaprxy.dll COM 物件在 Internet Explorer 执行
透过设定控制项的位元，可以在 Internet Explorer 停止尝试建立 Javaprxy.dll 控制项。

警告：如果不正确使用登录编辑器，可能会导致严重的问题，需要重新安装作业系统。微软不会保证你能够解决由不正确使用登录编辑器所引起的问题。使用登录编辑器的风险需要自己承担。

Javaprxy.dll 控制项的 CLSID 是 ༿D9F3F2-B0E3-11D2-B081-006008039BF0'

设置网际网路和近端内部网路的安全性区域设定为高，在这些区域执行 ActiveX 控制项之前会发出提示。
1. 在 Internet Explorer "工具" 下，选择 "网际网路选项"。

2. 在 "网际网路选项" 对话盒中，选择 "安全性" 标签，然后点选 "网际网路" 图示。

3. 在 "此区域的安全层级" 下，将控制杆调校至 "高安全性"，这样会将所有浏览网页的安全性设定为高。

注意： 如果没有发现控制杆，请选择预设层级，然后将控制杆调校至 "高安全性"。


变更 Internet Explorer 的网际网路和近端内部网路的安全性区域，在执行或停用 ActiveX 控制项之前发出提示。
1. 在 Internet Explorer "工具" 下，选择 "网际网路选项"。

2. 选择 "安全性" 标签。

3. 点选 "网际网路"，然后选择 "自订层级"。

4. 在 "设定" 下的 "ActiveX 控制项与插件" 部份的 "执行 ActiveX 控制项与插件" 下，点选 "提示" 或 "停用"，然后按 "确定"。

5. 点选 "近端内部网路"，然后选择 "自订层级"。

6. 在 "设定" 下的 "ActiveX 控制项与插件" 部份的 "执行 ActiveX 控制项与插件" 下，点选 "提示" 或 "停用"，然后按 "确定"。

7. 按 "确定" 两次返回 Internet Explorer。

取消 Javaprxy.dll COM 物件的登录
1. 按 "开始"，然后按"执行"，输入 "regsvr32 /u javaprxy.dll" (没有引号) 后按 "确定"。

2. 一个对话盒会出现来确定取消登录程序已经成功执行，按 "确定" 关闭对话盒。

3. 关闭 Internet Explorer 后重开，变更才会生效。

影响： 一些需要微软 Java 虚拟机器的应用程式可能不能正常地运作。

更改在 Javaprxy.dll 的存取控制列表，设定更多限制
1. 按 "开始"，然后按 "执行"，输入"cmd" (没有引号) 后按 "确定"。

2. 在命令指令字元输入以下指令，记录目前在档案上的 ACL (包括继承设定) 作为日后需要取消更改的参考用途：

cacls %windir%\system32\javaprxy.dll

3. 输入以下指令去拒绝 "everyone" 群组存取这个档案：

cacls %windir%\system32\javaprxy.dll /d everyone

4. 关闭 Internet Explorer 后重开，变更才会生效。

影响： 一些需要微软 Java 虚拟机器的应用程式可能不能正常地运作。

利用软体限制政策去限制在 Internet Explorer 存取 Javaprxy.dll
在微软视窗 XP 或之后的版本，你可以新增软体限制政策去限制在 Internet Explorer 存取 Javaprxy.dll。要新增这个政策，可以使用登录脚本程式或新增群组政策设定去阻止载入 Javaprxy.dll。

注意：如果不正确使用登录编辑器，可能会导致严重的问题，需要重新安装作业系统。微软不会保证你能够解决由不正确使用登录编辑器所引起的问题。使用登录编辑器的风险需要自己承担。你可以在登录编辑器 (Regedit.exe) 的说明目录中的 "变更索引和值" 或 Regedt32.exe 的说明目录中的 "新增及移除在登录的资料" 和 "编辑登录资料"，获得如何编辑登录的资料。

我们建议在编辑登录之前制作备份。

使用以下的 .reg 档案取消 Javaprxy.dll 在 Internet Explorer 的登录 。你可以复制以下的文字，在文字编辑器如记事簿中贴上，然后储存这个档案，用 .reg 作为档案名的延伸。

视窗登录编辑器版本 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers]
"TransparentEnabled"=dword:00000002

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{09687f8a-0ca9-4639-b295-a3f5b5be8fc5}]
"LastModified"=hex(b):50,09,1f,b1,04,4a,c5,01
"Description"="Block javaprxy.dll"
"SaferFlags"=dword:00000000
"ItemData"=hex(2):25,00,77,00,69,00,6e,00,64,00,69,00,72,00,25,00,5c,00,73,00,\
79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6a,00,61,00,76,00,61,00,70,\
00,72,00,78,00,79,00,2e,00,64,00,6c,00,6c,00,00,00

影响： 一些需要微软 Java 虚拟机器的应用程式可能不会正常地运作。

使用 Java 移除工具移除系统中的微软 Java 虚拟机器
用户可以使用微软 Java 虚拟机器支援网页中提供的 MSJVM 诊断工具，执行远端和本机扫瞄去侦测 MSJVM 和与 MSJVM有关的软体是否存在。

影响： 一些需要微软 Java 虚拟机器的应用程式可能不会正常地运作。