Windows 2000/NT/XP 16 位元應用程式權限繞過漏洞分析與防護

Microsoft Windows 2000、NT 4.0 及 XP 中存在一項安全性弱點，允許 16 位元應用程式繞過執行權限驗證，可能導致未授權程式碼在系統上盲目執行。本文整理漏洞詳情、影響範圍及緩解措施。

漏洞概況

• 發布日期：2002-09-24
• 嚴重等級：中
• 威脅類型：設計錯誤 / 本地權限提升
• BUGTRAQ ID：5740
• 發現者：Torbjörn Hovmark (Abtrusion Security)

受影響系統

包含 Windows 2000 (所有版本 SP1-SP3)、Windows NT 4.0 (Workstation/Server/Enterprise/Terminal Server 所有 SP) 以及 Windows XP (Home/Professional 含 SP1)。

漏洞原理

當一個 16 位元應用程式透過已在執行中的另一個 16 位元程式 (NTVDM 環境) 啟動時，系統未正確檢查呼叫者的執行權限，導致權限驗證被繞過。攻擊者可利用程式載入器機制，誘導系統執行未授權的程式碼。

緩解與解決方案

1. 停用 NTVDM.EXE：透過檔案系統權限 (NTFS) 拒絕所有使用者執行 %SystemRoot%\System32\NTVDM.EXE，即可徹底封鎖 16 位元子系統，防止漏洞被利用。
   操作方式：右鍵點擊 NTVDM.EXE → 「內容」 → 「安全性」 → 新增「Everyone」並勾選「拒絕：讀取與執行」。
2. 套用官方修補程式：Microsoft 已釋出相關安全性更新 (MS02-051)，請儘速透過 Windows Update 或下載中心安裝對應作業系統的修補程式。
3. 最小權限原則：日常操作請使用標準使用者帳號，避免以系統管理員身分執行不明來源的 16 位元舊程式。

參考資源

• Microsoft Security Bulletin MS02-051
• Bugtraq ID 5740 詳細報告