Microsoft Windows hxvz.dll ActiveX控件堆溢出漏洞（MS0

模板素材 2025-05-20 05:53www.dzhlxh.cn模板素材

关于特定Microsoft Windows系统的安全漏洞通告

针对以下操作系统存在安全漏洞：

Microsoft Windows XP SP2

Microsoft Windows Vista SP1 以及 Vista 版本

Microsoft Windows Server 2008

Microsoft Windows Server 2003 SP2 及 SP1

Microsoft Internet Explorer 5.0.1 SP4 以及 Internet Explorer 6.0 SP1，特别是在Windows 2000 SP4上。

详细描述：

BUGTRAQ ID为28606，CVE(CAN) ID为CVE-2008-1086。微软Windows的Microsoft Help存在ActiveX控件漏洞。远程攻击者可能利用此漏洞操纵用户系统。该漏洞存在于版本为2.5的Microsoft Help中，涉及以下ActiveX控件：

ProgID：HxVz.HxTocCtrl.1

CLSID：314111B8-A502-11D2-BBCA-00C04F8EC294

文件位置：%PROGRAM DIR%\Common Files\Microsoft Shared\Help\hxvz.dll

若提供畸形参数给该控件，会导致堆内存被破坏。攻击者可制作特定网页利用此漏洞，当用户在浏览器中访问时，该漏洞可能会被利用以执行远程指令。成功利用此漏洞的攻击者将获得与登录用户相同的权限。

来源：此信息来自iDEFENSE及其他权威安全机构。更多信息可查阅以下链接：

secunia: [链接](

microsoft: [链接](

labs.idefense: [链接](

us-cert.gov: [链接](

建议措施：

临时解决方案：禁止在Internet Explorer中运行COM对象。

厂商提供的补丁：微软已经为此发布了安全公告（MS08-023）及相应补丁。具体为：

MS08-023：ActiveX Kill Bits的安全更新（948881）

链接：[链接](