Microsoft 正在对 XMLHTTP 4.0 ActiveX 控件中漏洞的公众报告进行调查，该控件是 Windows 上 Microsoft XML Core Services 4.0 的一部分。 我们发现了尝试使用已报告的漏洞进行的有限攻击。
默认配置下运行 Windows Server 2003 和 Windows Server 2003 Service Pack 1 并且启用了增强安全配置的客户不受影响。 客户需要访问攻击者的网站才会面临风险。 我们将继续调查这些公众报告。
完成此调查时，Microsoft 将采取适当的措施帮助保护我们的客户。 我们将通过每月的发布过程提供安全更新或提供不定期的安全更新，具体取决于客户需求。
鼓励客户使其防病毒软件保持为最新。
Microsoft 鼓励用户在打开来自不受信任的来源的电子邮件或电子邮件中的链接时保持谨慎。 有关安全浏览的详细信息，请访问可信赖计算网站。
我们仍鼓励客户按照“保护您的 PC”指导启用防火墙、获取软件更新并安装防病毒软件。 客户可以在“保护您的 PC”网站上了解有关这些步骤的更多信息。
认为他们已经受到攻击的客户应该联系当地的 FBI 办事处或在网络欺诈申诉中心网站上进行投诉。 美国以外的客户应该联系其所在国家或地区的国家执行机构。
认为他们已经受到影响的客户也可以联系产品支持服务。 美国和加拿大地区的客户可以使用 PC 安全热线 (1 866-PCSAFETY) 免费与产品支持服务联系。 美国和加拿大以外地区的客户可以访问 Microsoft 帮助和支持网站找到免费病毒支持的电话号码。
此通报的适用范围有多大？
Microsoft 获悉会影响 XMLHTTP 4.0 ActiveX 控件的公开披露的新漏洞报告，该控件是 Microsoft XML Core Services 4.0 的一部分。此漏洞影响“概述”部分列出的软件。
这是否是一个需要 Microsoft 发布安全更新的安全漏洞？
我们目前正对此问题进行调查，以为客户制定适当的操作方案。 我们将在即将发布的安全公告中提供此问题的修补程序。
什么是 Microsoft XML 核心服务 (MSXML)？
Microsoft XML 核心服务 (MSXML) 允许使用 JScript、Visual Basic Scripting Edition (VBScript) 和 Microsoft Visual Studio 6.0 的客户构建基于 XML 的应用程序，从而与其他遵循 XML 1.0 标准的应用程序交互操作。
攻击者可能利用此功能执行什么操作？
攻击者可能拥有一个旨在通过 Internet Explorer 利用此漏洞的特制网站，然后诱使用户查看该网站。 这还可以包括接受用户提供的内容或广告的网站、放置用户提供的内容或广告的网站以及受到破坏的网站。 这些网站可能包含可以利用此漏洞的特制内容。 但是在所有情况下，攻击者无法强制用户访问这些网站。 相反，攻击者必须说服用户访问该网站，方法通常是让用户单击电子邮件或 Instant Messenger 请求中的链接以使用户链接到攻击者的网站。 它还可能使用横幅广告或其他方式显示特制的 Web 内容，以便将 Web 内容传递至受影响的系统。
相关下载：
[责任编辑:KV_ddvip]
本栏更新相关链接