CVE:CVE-2002-0155
CNNVD:CNNVD-200205-085
MSN Messenger是一款Microsoft公司分发和维护的即时信息服务程序。其中MSN
Messenger OCX控件可以安装在Microsoft Internet Explorer中。
MSN Messenger OCX在参数处理上存在漏洞，可导致远程攻击者以登录MSN用户的权限在目标系统上执行任意命令。
MSN Chat control是一款ActiveX控件允许多组用户聚集在单一、虚拟位置在线进行信息交互，可以在MSN站点独立下载，也可以把MSN Messenger 4.5和Exchange Instant Messenger一起安装。程序对ResDLL参数没有很好的进行缓冲区边界检查，通过提供一超长的缓冲数据，可以覆盖堆栈信息，包括返回地址，精心构建缓冲数据可导致远程攻击者以登录MSN用户的权限在目标系统上执行任意指令。
注：即使用户没有安装Messenger，从codebase标记调用的ActiveX控件可以提示用户以Microsoft的信任书安装控件。
solution:Upgrade microsoft msn_chat_control to a higher version than *; Upgrade microsoft msn_messenger to a higher version than 4.5,4.6,and avoid the version 4.5,4.6; Upgrade microsoft msn_messenger_service_for_exchange to a higher version than 4.5,4.6,and avoid the version 4.5,4.6