Microsoft-beveiligingsbulletin MS08-050 – Belangrijk

Standaard is dit ActiveX-besturingselement Messenger.UIAutomation.1 niet opgenomen in de standaardlijst Geaccepteerd voor ActiveX-besturingselementen in Internet Explorer 7. Alleen klanten die dit besturingselement expliciet hebben goedgekeurd met gebruik van de functie waarmee ActiveX kan worden ingeschakeld, lopen risico dat er misbruik wordt gemaakt van dit beveiligingslek. Als een klant dit ActiveX-besturingselement echter in een eerdere versie van Internet Explorer heeft gebruikt, is dit ActiveX-besturingselement ingeschakeld voor gebruik in Internet Explorer 7, zelfs als de gebruiker het niet expliciet heeft goedgekeurd met de functie waarmee ActiveX kan worden ingeschakeld.

Ondersteunde versies van Microsoft Windows 2000, Windows Server 2003 en Windows Server 2003 voor Itanium-systemen worden niet geleverd met de getroffen versies van Windows Messenger. Daarom lopen uitsluitend klanten die de getroffen versies van Windows Messenger op deze systemen hebben geïnstalleerd risico door dit beveiligingslek.

Ondersteunde versies van Windows Vista worden geleverd met Windows Live Messenger, maar zijn niet kwetsbaar. Daarom is het upgraden naar ondersteunde versies van Vista en Windows Live Messenger een beperkende factor.

Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten krijgen als de gebruiker die zich bij Windows Messenger heeft aangemeld. Een aanvaller kan ook de aanmeldings-ID van de gebruiker achterhalen en zich op afstand aanmelden bij de Messenger-client van de gebruiker als die gebruiker. De aanvaller kan echter niet de aanmeldings-ID of referenties van de gebruiker verwerven op het computersysteem van de gebruiker.

In het geval van een aanval vanaf het web kan de aanvaller beschikken over een website waarop zich een webpagina bevindt waarmee dit beveiligingslek wordt misbruikt. Daarnaast kunnen ook gemanipuleerde websites en websites waarop gegevens of advertenties staan of gegevens of advertenties kunnen worden ingevoerd, schadelijke inhoud bevatten die dit beveiligingslek kunnen misbruiken. Een aanvaller kan echter een gebruiker er niet toe dwingen om naar deze websites te gaan. De aanvaller moet een gebruiker er dus van overtuigen een bezoek te brengen aan de website. In de meeste gevallen doet de aanvaller dat door de gebruiker ertoe te bewegen op een koppeling in een e-mailbericht of een verzoek in een expresbericht te klikken waarmee de gebruiker naar de website van de aanvaller gaat.

HTML-e-mailberichten worden door alle ondersteunde versies van Microsoft Outlook en Microsoft Outlook Express standaard geopend in de zone Websites met beperkte toegang. De zone Websites met beperkte toegang vermindert het aantal aanvallen waarin misbruik wordt gemaakt van dit beveiligingslek, doordat er bij het lezen van e-mailberichten in HTML-indeling geen scripts actief worden uitgevoerd en geen ActiveX-besturingselementen meer worden gebruikt. Als een gebruiker echter op een koppeling in een e-mail klikt, kan deze nog altijd kwetsbaar zijn voor dit probleem, omdat een aanval ook via het web kan worden uitgevoerd.

Standaard wordt Internet Explorer op Windows Server 2003 uitgevoerd in een beperkte modus genaamd Verbeterde beveiliging. Het beveiligingsniveau voor de zone Internet wordt in deze modus ingesteld op Hoog. Dit is een beperkende factor voor websites die u niet aan de zone Vertrouwde websites van Internet Explorer hebt toegevoegd. Zie de subsectie Veelgestelde vragen van dit beveiligingslek voor meer informatie over Verbeterde beveiliging van Internet Explorer.

Stel Internet Explorer zodanig in dat u wordt gevraagd of u actieve scripts wilt uitvoeren, of schakel de optie Actief uitvoeren van scripts uit voor de beveiligingszones Internet en Lokaal intranet

U kunt het systeem beter beschermen tegen de gevaren van dit beveiligingslek door bepaalde instellingen te wijzigen zodat u wordt gevraagd om bevestiging voordat actieve scripts wordt uitgevoerd. U kunt ook de optie Actief uitvoeren van scripts uitschakelen in de beveiligingszones Het Internet en Lokaal intranet. Voer hiertoe de volgende stappen uit:

Opmerking Als u Actief uitvoeren van scripts uitschakelt in de beveiligingszones Het Internet en Lokaal intranet, is het mogelijk dat sommige websites niet correct werken. Als u problemen ervaart met het bezoeken van websites nadat u deze instelling hebt gewijzigd, en u weet zeker dat het bezoek van de desbetreffende website veilig is, kunt u die website aan uw lijst met vertrouwde websites toevoegen. Hierdoor werkt de website weer goed.

Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer

Nadat u Internet Explorer zodanig hebt ingesteld dat u wordt gevraagd om bevestiging bij het uitvoeren van ActiveX-besturingselementen en het actief uitvoeren van scripts in de zone Het Internet en de zone Lokaal intranet, kunt u al uw vertrouwde websites aan de zone Vertrouwde websites van Internet Explorer toevoegen. Op deze manier bent u beveiligd tegen aanvallen op dit beveiligingslek vanaf niet-vertrouwde websites en kunt u als altijd blijven gebruikmaken van vertrouwde websites. Het is raadzaam alleen websites die u vertrouwt aan de zone Vertrouwde websites toe te voegen.

Voer hiertoe de volgende stappen uit:

Opmerking Als er websites zijn waarvan u niet verwacht dat daarvandaan schadelijke acties op uw systeem worden ondernomen, voegt u deze aan de vertrouwde websites toe. U kunt bijvoorbeeld de websites *.windowsupdate.microsoft.com en *.update.microsoft.com toevoegen. Dit zijn de websites waar de update is te vinden. Er is een ActiveX-besturingselement nodig om de update te kunnen installeren.

Gevolgen van de tijdelijke oplossing: Wanneer u vraagt om bevestiging voordat u Active Scripting uitvoert, zijn de volgende punten van toepassing. Veel websites op internet of een intranet bieden extra functionaliteit dankzij de technologie voor actieve scripts. Een website van een e-commerce-bedrijf of een bank kan met de optie Actief uitvoeren van scripts menu's, bestelformulieren of zelfs bankafschriften ter beschikking stellen. Vragen om bevestiging voordat actieve scripts worden uitgevoerd, is een instelling die geldt voor alle websites (internet en intranet). Wanneer u voor deze oplossing hebt gekozen, zal het vraagvenster veelvuldig worden weergegeven. Telkens wanneer het vraagvenster verschijnt, dient u op Ja te klikken als u de website vertrouwt die u wilt bezoeken. Hierna worden de actieve scripts van die website uitgevoerd. Als u niet wilt dat het vraagvenster voor al deze websites wordt weergegeven, kunt u de stappen uitvoeren die worden beschreven in de volgende paragraaf "Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer".

Stel het beveiligingsniveau van de zones Het Internet en Lokaal intranet in op “Hoog” als u wilt dat u wordt gevraagd of u ActiveX-besturingselementen en actieve scripts in deze zones wilt uitvoeren

U kunt het systeem beter tegen de gevaren van dit beveiligingslek beschermen door bepaalde instellingen voor de beveiligingszone Het Internet zodanig te wijzigen dat de gebruiker om bevestiging wordt gevraagd voordat ActiveX-besturingselementen worden uitgevoerd en scripts actief worden uitgevoerd. U kunt dit doen door de beveiliging van uw browser in te stellen op Hoog.

Ga als volgt te werk als u het beveiligingsniveau van Internet Explorer wilt verhogen:

Opmerking Klik als er geen schuifregelaar zichtbaar is, op Standaardniveau en verplaats de schuifregelaar vervolgens naar Hoog.

Opmerking Door het niveau in te stellen op Hoog worden bepaalde websites mogelijk onjuist weergegeven. Als u problemen ervaart met het bezoeken van websites nadat u deze instelling hebt gewijzigd, en u weet zeker dat het bezoek van de desbetreffende website veilig is, kunt u die website aan uw lijst met vertrouwde websites toevoegen. Hierdoor werkt de website weer goed, zelfs met de beveiligingsinstelling Hoog.

Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer

Nadat u Internet Explorer zodanig hebt ingesteld dat u wordt gevraagd om bevestiging bij het uitvoeren van ActiveX-besturingselementen en het actief uitvoeren van scripts in de zone Het Internet en de zone Lokaal intranet, kunt u al uw vertrouwde websites aan de zone Vertrouwde websites van Internet Explorer toevoegen. Op deze manier bent u beveiligd tegen aanvallen op dit beveiligingslek vanaf niet-vertrouwde websites en kunt u als altijd blijven gebruikmaken van vertrouwde websites. Het is raadzaam alleen websites die u vertrouwt aan de zone Vertrouwde websites toe te voegen.

Voer hiertoe de volgende stappen uit:

Opmerking Als er websites zijn waarvan u niet verwacht dat daarvandaan schadelijke acties op uw systeem worden ondernomen, voegt u deze aan de vertrouwde websites toe. U kunt bijvoorbeeld de websites *.windowsupdate.microsoft.com en *.update.microsoft.com toevoegen. Dit zijn de websites waar de update is te vinden. Er is een ActiveX-besturingselement nodig om de update te kunnen installeren.

Gevolgen van de tijdelijke oplossing: Wanneer u wordt gevraagd om bevestiging voordat een ActiveX-besturingselement of een actief script wordt uitgevoerd, zijn de volgende punten van toepassing. Veel websites op internet of een intranet bieden extra functionaliteit dankzij ActiveX of Active Scripting. Een website van een e-commerce-bedrijf of een bank kan met ActiveX-besturingselementen bijvoorbeeld menu's, bestelformulieren of zelfs bankafschriften ter beschikking stellen. Vragen om bevestiging voordat een ActiveX-besturingselement of een actief script wordt uitgevoerd, is een algemene instelling die voor alle websites (internet en intranet) geldt. Wanneer u voor deze oplossing hebt gekozen, zal het vraagvenster veelvuldig worden weergegeven. Telkens wanneer het vraagvenster verschijnt, klikt u op Ja als u de website vertrouwt die u wilt bezoeken. Hierna worden de ActiveX-besturingselementen en actieve scripts van die website uitgevoerd. Als u niet wilt dat het vraagvenster voor al deze websites wordt weergegeven, kunt u de stappen uitvoeren die worden beschreven in de volgende paragraaf "Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer".

Stel de kill-bit in voor het besturingselement Messenger.UIAutomation.1

U kunt voorkomen dat dit beveiligingslek wordt misbruikt door de kill-bit voor het besturingselement in het register in te stellen.

Waarschuwing Als u de Register-editor onjuist gebruikt, kan dit tot zeer ernstige problemen leiden waardoor u het besturingssysteem mogelijk opnieuw moet installeren. Microsoft kan niet garanderen dat problemen die ontstaan als gevolg van een onjuist gebruik van de Register-editor, kunnen worden opgelost. Het gebruik van de Register-editor is voor eigen risico. Zie voor meer informatie over het bewerken van het register het Help-onderwerp 'Sleutels en waarden wijzigen' in de Register-editor (regedit.exe) of de Help-onderwerpen 'Toevoegen of verwijderen van registerinformatie' en 'Registergegevens bewerken' in regedt32.exe.

Opmerking Het is aan te raden een back-up van het register te maken alvorens u dit bewerkt.

Om de kill-bit voor een CLSID met de waarde {B69003B3-C55E-4b48-836C-BC5946FC3B28} in te stellen, plakt u de volgende tekst in een teksteditor, bijvoorbeeld in Kladblok. Sla het bestand vervolgens op met de extensie .reg.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{B69003B3-C55E-4b48-836C-BC5946FC3B28}]

"Compatibility Flags"=dword:00000400

U kunt dit REG-bestand op afzonderlijke systemen toepassen door erop te dubbelklikken. U kunt het bestand ook met behulp van Groepsbeleid in domeinen toepassen. Ga naar de volgende websites van Microsoft voor meer informatie over Groepsbeleid:

Gevolgen van de tijdelijke oplossing: Uitvoering van het script wordt uitgeschakeld voor dit ActiveX-besturingselement. Daarmee worden tevens de functies voor Externe toegang uitgeschakeld in Messenger.

Zo kunt u tijdelijke oplossingen ongedaan maken. U kunt het systeem in de oorspronkelijke staat herstellen door het volgende te doen:

Plak de volgende tekst in een teksteditor, bijvoorbeeld Kladblok. Sla het bestand vervolgens op met de extensie .reg.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{B69003B3-C55E-4b48-836C-BC5946FC3B28}]

Het beveiligingsniveau voor de zone Het Internet wordt ingesteld op Hoog. Door deze instelling worden scripts, ActiveX-besturingselementen, MSJVM (Microsoft Java Virtual Machine) en het downloaden van bestanden uitgeschakeld.

Automatische detectie van intranetsites wordt uitgeschakeld. Met deze instellingen worden alle websites van een intranet en alle UNC-paden (Universal Naming Convention) die niet expliciet zijn vermeld in de zone Lokaal intranet, toegewezen aan de zone Het Internet.

Installatie op afroep en browserextensies van andere fabrikanten dan Microsoft worden uitgeschakeld. Met deze instelling wordt voorkomen dat automatisch componenten worden geïnstalleerd vanaf websites en dat extensies van andere fabrikanten dan Microsoft worden uitgevoerd.

Multimedia-inhoud wordt uitgeschakeld. Met deze instelling wordt voorkomen dat muziek, animaties en videofragmenten worden afgespeeld.