Visual FoxPro 6.0应用程序可以在没有警告情况下远程启动漏洞(MS02-049)

一般情况下，当产品安装在Windows操作系统上时，它会把自身与Internet Explorer注册，这样可以允许产品指定当IE从WEB页面上引用此产品的时候怎样处理文件关联，如允许产品指定是否用户在打开文件时是不是需要弹出对话警告框。 Visual FoxPro 6.0在安装时没有进行注册操作，远程攻击者可以利用这个漏洞在没有任何警告的情况下启动Visual FoxPro应用程序。 Visual FoxPro 6.0在安装后，没有进行与IE相关的注册操作，这就导致IE在引用WEB页上指定的Visual FoxPro应用文件(如.app文件)时，没有任何安全警告自动启动Visual FoxPro应用程序。这在一般情况下不会导致安全漏洞，因为FoxPro只仅仅启动自身应用程序而不会去执行.app文件，但是，如果应用程序的文件名以特殊格式构建的情况下，就会产生相关Visual FoxPro处理特殊应用文件名错误的漏洞，结合这个漏洞就可以不仅仅启动FoxPro而且还允许执行应用程序，可导致以用户进程在系统上执行任意命令。 此漏洞可以通过建立引用Visual FoxPro应用程序的WEB页面，或者通过发送HTML形式的邮件来触发。如果用户已经安装Visual FoxPro 6.0产品或者安装包含Visual FoxPro 6.0实时系统组件的产品，点击应用程序文件名按特殊方式建立的WEB页面，可导致WEB页上提供的应用程序以用户进程在系统上执行。