โมดูล Color management ทำให้ระบบปฏิบัติการวินโดว์สสามารถปรับสีที่ใช้ในการแสดงผลให้เหมาะสมต่ออุปกรณ์และแอพพลิเคชันที่ใช้งาน ซึ่งทำให้สามารถรองรับอุปกรณ์หรือแอพพลิเคชันของผู้ผลิตที่หลากหลาย การบริหารจัดการสีเพื่อให้มีมาตรฐานร่วมกันระหว่างผู้ผลิตอุปกรณ์หรือฮาร์ดแวร์ มีหน่วยงานที่รับผิดชอบเรื่องนี้โดยตรง คือ ICC (International Color Consortium)

ข้อมูลโดยย่อของช่องโหว่นี้มีดังนี้

Color Management Module Vulnerability - CAN-2005-1219

ช่องโหว่นี้เกิดขึ้นในโมดูล Color management โดยมีสาเหตุมาจากการที่ไม่ได้ทำการตรวจสอบ
ข้อมูลอินพุตที่รับเข้ามาก่อนนำไปใช้งาน ข้อมูลอินพุตนี้เป็นข้อมูลที่เกี่ยวข้องกับการกำหนดรายละเอียดของสี (Color profile) ตามฟอร์แมตมาตรฐานของ ICC

ผู้บุกรุกสามารถใช้ช่องโหว่นี้ได้โดยการจัดสร้างรูปภาพตามรูปแบบไฟล์ของ ICC ขึ้นมาเป็นพิเศษสำหรับการบุกรุกระบบ แล้วล่อลวงให้ผู้ใช้ทำการเปิดดูรูปดังกล่าว อาจจะเปิดดูในเครื่องที่ใช้งาน เปิดดูอี-เมล์ที่มีรูปผสมมากับข้อความ หรือเปิดดูรูปในไฟล์แนบที่ส่งมากับอี-เมล์ เมื่อเปิดขึ้นดู การยึดครองระบบทั้งหมดก็จะสามารถทำได้ ซึ่งรวมถึงการสั่งรันโปรแกรมจากระยะไกลเข้ามา

หากผู้ใช้งานเครื่องคอมพิวเตอร์ที่ยังไม่ได้ทำการอุดช่องโหว่นี้ล็อกอินภายใต้สิทธิของผู้ดูแลระบบ ในกรณีที่รุนแรงที่สุดของช่องโหว่เหล่านี้ ผู้บุกรุกก็จะสามารถควบคุมเครื่องไว้ได้ทั้งหมด ซึ่งรวมถึงการติดตั้งโปรแกรมเพิ่มเติมเข้าไป การเรียกดู เปลี่ยนแปลง หรือแม้แต่ลบข้อมูลที่อยู่ในเครื่องนั้นทิ้งไป รวมทั้งการเพิ่มผู้ใช้รายใหม่ที่มีระดับสิทธิสูงๆ เข้าไปในบัญชีผู้ใช้ หากไม่ได้ล็อกอินภายใต้สิทธิดังกล่าว ความเสี่ยงต่อความเสียหายหรือผลกระทบที่อาจเกิดขึ้นก็จะลดความรุนแรงลงไป
 

ผลกระทบของช่องโหว่นี้

ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกล

ระดับความรุนแรง

สูงสุด (Critical)

ซอฟต์แวร์ที่ได้รับผลกระทบ

• Microsoft Windows 2000 Service Pack 4 – ดาวน์โหลดได้จากลิงก์นี้
• Microsoft Windows XP Service Pack 1 and Microsoft Windows XP Service Pack 2 – ดาวน์โหลดได้จากลิงก์นี้
• Microsoft Windows XP Professional x64 Edition – ดาวน์โหลดได้จากลิงก์นี้
• Microsoft Windows Server 2003 and Microsoft Windows Server 2003 Service Pack 1 – ดาวน์โหลดได้จากลิงก์นี้
• Microsoft Windows Server 2003 for Itanium-based Systems and Microsoft Windows Server 2003 with SP1 for Itanium-based Systems – ดาวน์โหลดได้จากลิงก์นี้
• Microsoft Windows Server 2003 x64 Edition – ดาวน์โหลดได้จากลิงก์นี้
• Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE), and Microsoft Windows Millennium Edition (ME) - ให้ดูข้อมูลเพิ่มเติมได้จาก FAQ section ตามลิงก์ http://www.microsoft.com/technet/security/bulletin/ms05-036.mspx