IE11浏览器曝出严重XXE漏洞：可轻松窃取PC文件

如果你用的是IE，那么可要注意了，因为就在近日，安全研究人员在IE 11中发现了新型漏洞，使其处理.MHT已保存页面时，能让黑客窃取PC上的文件。

实际上还远不止如此，.MHT文件格式的默认处理应用程序是IE 11浏览器，因此即使将其他浏览器设为默认网页浏览器，此个尚未修复的漏洞依然有效。

据了解，该次新型漏洞由John Page最先发现，用户只需双击.MHT文件，IE浏览器中存在的XXE (XML eXternal Entity)漏洞便能绕过IE浏览器的保护激活ActiveX模块。

对此，研究员表示：“一般情况下，在IE浏览器中实例化‘Microsoft.XMLHTTP’这样的ActiveX对象的时候，会跳出安全警示栏，提示启用了被阻止的内容。

但使用恶意的<xml>标记来打开特制的.MHT文件时，用户将不会收到此类活动内容或安全栏警告。”

基于以上种种，令该漏洞成为钓鱼网络攻击的理想之选，攻击者通过e-mail或者社交网络传播后，便能窃取文件或者其他信息，也就是漏洞允许远程攻击者窃取本地文件，并对已感染的设备进行远程侦查。

据悉，该漏洞适用于Windows 7/8.1/10系统，且目前微软还没有计划解决这个问题。

对此，来自微软方面的反馈称：“我们确定在此产品或服务的未来版本中将考虑修复此问题。目前，我们不会持续更新此问题的修复程序状态，并已关闭此案例”因此，我们在这里也建议大家，尤其是企业用户尽量减少通过IE 11浏览器下载和点击不明文件。