受影响系统
近期，微软发布的安全公告MS08-023值得所有Windows用户高度关注。该漏洞的影响范围极为广泛，从较早的Windows XP SP2到Vista、Server 2008，几乎覆盖了当时主流的桌面与服务器操作系统版本。以下是受影响的系统详细列表：
- Microsoft Windows XP SP2
- Microsoft Windows Vista SP1
- Microsoft Windows Vista
- Microsoft Windows Server 2008
- Microsoft Windows Server 2003 SP2
- Microsoft Windows Server 2003 SP1
- Microsoft Internet Explorer 5.0.1 SP4（Windows 2000 SP4）
- Microsoft Internet Explorer 6.0 SP1（Windows 2000 SP4）
漏洞描述
该漏洞编号为CVE-2008-1086，BUGTRAQ ID 28606。问题根源在于Microsoft Help 2.5所集成的ActiveX控件。具体而言，该控件的ProgID为HxVz.HxTocCtrl.1，CLSID为314111B8-A502-11D2-BBCA-00C04F8EC294，对应的动态链接库文件位于%PROGRAM DIR%\Common Files\Microsoft Shared\Help\hxvz.dll。
当攻击者向该控件传递畸形参数时，会导致堆内存遭到破坏。漏洞的利用方式非常直接——攻击者可以构造一个特制的网页，用户只要使用IE浏览器打开该页面，恶意代码便能在远程执行。成功利用此漏洞后，攻击者能够获取与当前登录用户相同的系统权限。换言之，如果管理员账户登录了系统，攻击者就能获得管理员级别的控制权。
相关的公开参考信息已可在漏洞库中查阅，微软在MS08-023公告中也提供了详细说明。
安全建议
临时缓解措施
在正式安装补丁之前，建议先通过禁止Internet Explorer中运行该COM对象来规避潜在风险。具体操作请参考微软提供的Kill Bit设置方法。
厂商补丁更新
微软已发布安全公告MS08-023（Security Update of ActiveX Kill Bits，编号948881），并提供了相应的修复补丁。强烈建议受影响系统的用户尽快通过Windows Update或直接下载补丁进行更新，以防范漏洞威胁。
