http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200205-085

MSNMessenger是一款Microsoft公司分发和维护的即时信息服务程序。其中MSNMessengerOCX控件可以安装在MicrosoftInternetExplorer中。MSNMessengerOCX在参数处理上存在漏洞，可导致远程攻击者以登录MSN用户的权限在目标系统上执行任意命令。MSNChatcontrol是一款ActiveX控件允许多组用户聚集在单一、虚拟位置在线进行信息交互，可以在MSN站点独立下载，也可以把MSNMessenger4.5和ExchangeInstantMessenger一起安装。程序对ResDLL参数没有很好的进行缓冲区边界检查，通过提供一超长的缓冲数据，可以覆盖堆栈信息，包括返回地址，精心构建缓冲数据可导致远程攻击者以登录MSN用户的权限在目标系统上执行任意指令。注：即使用户没有安装Messenger，从codebase标记调用的ActiveX控件可以提示用户以Microsoft的信任书安装控件。

来源:CERT/CCAdvisory:CA-2002-13
名称:CA-2002-13
链接:http://www.cert.org/advisories/CA-2002-13.html
来源:MS
名称:MS02-022
链接:http://www.microsoft.com/technet/security/bulletin/ms02-022.asp
来源:BUGTRAQ
名称:20020508ADVISORY:MSNMessengerOCXBufferOverflow
链接:http://marc.theaimsgroup.com/?l=bugtraq&m;=102089960531919&w;=2
来源:BID
名称:4707
链接:http://www.securityfocus.com/bid/4707
来源:XF
名称:msn-chatcontrol-resdll-bo(9041)
链接:http://www.iss.net/security_center/static/9041.php