Microsoft 安全公告 MS03-007


Windows 组件中未经检查的缓冲可能导致 Web 服务器的安全遭到攻击 (815021)

最初发布时间：2003年3月17日

谁应该阅读此公告：运行 Microsoft® Windows® 2000 的系统管理员

弱点的影响：运行攻击者所选择的代码

最大严重等级：严重

建议：系统管理员应立即应用修补程序

受影响的软件：Microsoft Windows 2000

技术说明：
Microsoft Windows 2000 支持“万维网分布式创作和版本控制 (WebDAV)”协议。RFC 2518 中定义的 WebDAV 是超文本传输协议 (HTTP) 的一组扩展，为 Internet 上计算机之间的编辑和文件管理提供了标准。WebDAV 所使用的 Windows 组件中存在一个安全弱点，其原因是该组件包含未经检查的缓冲。
攻击者通过将特殊构成的 HTTP 请求发送到运行 Internet Information Server (IIS) 的计算机可以利用此弱点。该请求可能导致服务器发生故障或者执行攻击者所选择的代码。代码将在 IIS 服务（默认情况下在 LocalSystem 上下文中运行）的安全上下文中运行。
尽管 Microsoft 已为此弱点提供了修补程序并建议客户立即安装该修补程序，但还是提供了其他的工具和预防措施，客户在评估该修补程序的影响和兼容性时可以使用这些工具和措施来阻止此弱点被利用。以下“常见问题解答”中的“解决方法”部分对这些临时解决方法和工具进行了讨论。

缓解因素：

  • URLScan 是 IIS 锁定工具的一部分，它可在其默认配置下阻止这种攻击
  • 只有当攻击者能够与受影响的服务器建立 Web 会话时，此弱点才能被远程利用
严重等级：
Windows 2000    严重
以上评估基于受此弱点影响的系统类型、它们的典型部署方案以及利用此弱点对它们的影响。

弱点标识符：CAN-2003-0109

已测试的版本：
Microsoft 已经对 Windows NT 4.0、Windows 2000 和 Windows XP 进行了测试，以评估它们是否会受此弱点的影响。只有 Windows 2000 受此公告的影响。以前的版本不再支持，可能受也可能不受这些弱点的影响。


常见问题解答

此弱点的范围是什么？
这是一个缓冲区溢出弱点。成功利用此弱点的攻击者可以完全控制受影响的 Web 服务器。这使攻击者能够在服务器上执行任意操作，包括更改 Web 页、重新格式化硬盘或向本地管理员组添加新用户。

此弱点是由什么引起的？
在可以使用 WebDAV 调用的组件中，此弱点是由未经检查的缓冲引起的。攻击者通过 WebDAV 发送特殊构成的请求，可以使代码在 Web 服务器上的本地系统安全上下文中运行。

WebDAV 是什么？
WebDAV 是 HTTP 规范的行业标准扩展。“WebDAV”中的“DAV”代表“分布式创作和版本控制”。WebDAV 为授权用户提供了在 Web 服务器上远程添加和管理内容的能力。WebDAV 在 Windows 2000 中受支持。

IIS 5.0 处理 WebDAV 请求的方式存在什么问题？
WebDAV 使用 IIS 将请求传入和传出 Windows 2000。当 IIS 接收到 WebDAV 请求时，它通常会处理该请求然后对它进行操作。不过，如果该请求是以特殊方式构成的，将导致缓冲区溢出，这是因为 WebDAV 调用的 Windows 组件之一没有正确检查参数。

在 Windows NT 4.0 上能通过 IIS 4.0 利用此弱点吗？
不能。WebDAV 在 IIS 4.0 中不受支持，因此攻击者没有利用此弱点的能力。

在 Windows XP 上能通过 IIS 5.1 利用此弱点吗？
不能。Windows XP 没有此弱点。

攻击者可能怎样利用此弱点？
攻击者可能会通过将特殊构成的请求发送到运行 IIS 5.0 的 Web 服务器来设法利用此弱点。

谁可以利用此弱点？
任何能够将 WebDAV 请求传输到受影响的 Web 服务器的用户都可以尝试利用此弱点。由于 WebDAV 请求是在 HTTP 所在的同一端口（通常是端口 80）上传输，这实质上意味着任何能够与受影响的服务器建立连接的用户都可以尝试利用此弱点。

这使攻击者能够做些什么？
如果攻击者能够在受影响的系统上用本地系统特权运行代码，攻击者将能够在系统上执行任何操作，包括安装程序、查看正在更改或删除的数据或用完全权限创建新帐户。

怎样知道我是否正在运行 IIS？
在 Windows 2000 的所有服务器版本上，默认情况下安装 IIS 5.0。在 Windows 2000 Professional 上，默认情况下不安装 IIS 5.0。

要检查您的系统上是否安装了 IIS，执行以下操作：转到“开始”|“设置”|“控制面板”|“管理工具”|“服务”。如果列出了“World Wide Web Publishing”服务，说明安装了 IIS。

IIS 5.0 是与哪些产品一起提供的？
Internet Information Services 5.0 是作为 Windows 2000 Datacenter Server、Advanced Server、Server 和 Professional 的一部分提供的。

默认情况下 IIS 5.0 运行吗？
在所有 Windows 2000 服务器产品上，默认情况下 IIS 5.0 运行。在 Windows 2000 Professional 上，它在默认情况下不运行。

在 IIS 5.0 上，默认情况下启用 WebDAV 吗？
是的，不过按照下面的“解决方法”部分中提到的步骤可以禁用它。

解决方法

在测试或评估修补程序时，有没有一种解决方法可以用来阻止利用此弱点？
是的。尽管 Microsoft 强烈建议所有的客户尽可能最早地使用修补程序，在过渡时期还是有一些解决方法可以阻止被用来利用此弱点的 WebDAV 请求。此外，Microsoft 还提供了更轻松地部署这些解决方法的工具和文档。
需要说明的是，这些解决方法只是阻止了攻击的途径，而没有改正根本的弱点，所以只能被当作是暂时的方法。
下面的部分旨在为您提供保护计算机不受攻击的信息。根据您计算机的配置，每一部分描述了您可能希望使用的解决方法。
  • 如果您的计算机不需要 IIS：
    运行 IIS 锁定工具就可以禁用 IIS。在下列位置提供了 IIS 锁定工具：
    http://www.microsoft.com/downloads/release.asp?ReleaseID=43955
    或者，可以按照下列知识库文章中列出的步骤删除 IIS：
    http://support.microsoft.com/default.aspx?scid=kb%3Ben-us%3B321141
  • 如果您需要 IIS 但不需要启用 WebDAV：
    WebDAV 为 Internet 上计算机之间的编辑和文件管理提供了标准。如果不使用 WebDAV，可以运行 IIS 锁定工具并向该工具说明您不使用 WebDAV 以禁用它。从以下位置可以得到 IIS 锁定工具：
    http://www.microsoft.com/downloads/release.asp?ReleaseID=43955
    请注意，虽然 IIS 锁定工具可阻止此攻击和其他许多攻击成功执行，但它在特定的环境下可能会干扰您的 Web 服务器的功能。虽然可能只允许您使用 IIS 锁定工具禁用 WebDAV，但您应该考虑应用所有锁定（包括 URLScan）。以下位置提供了有关如何使用 IIS 锁定工具的信息：
    http://support.microsoft.com/default.aspx?scid=kb;EN-US;325864
    还可以按照以下 Microsoft 知识库文章中列出的说明禁用 WebDAV：
    http://support.microsoft.com/default.aspx?scid=kb;en-us;241520
  • 如果您需要在计算机上使用 WebDAV：
    有许多解决方法可用来阻止被用来利用此弱点的请求并保留 WebDAV 功能（如果您正在使用此功能）。

    • 不能将 IIS 锁定工具或 URLScan 部署到 Web 服务器上的客户，可以限制 IIS 所使用的缓冲区接收会被用来利用此弱点的请求。Microsoft 已提供 URL 缓冲区大小注册工具，它可以自动设置将限制缓冲区的注册表项。在运行 Windows 2000 的 Web 服务器上可以运行此工具，以阻止试图利用此弱点的攻击。此工具可以在本地需要保护的 Web 服务器上运行，或者由具有相应管理员访问权限的客户应用到多个远程 Web 服务器。在下列知识库文章中有关于 URL 缓冲区大小注册工具和其他解决方法工具的信息：
      http://support.microsoft.com/default.aspx?scid=kb;en-us;816930
      URL 缓冲区大小注册工具可以在运行 Windows 2000 的系统上运行Service Pack 2 或 Service Pack 3。另外，可以按照以下知识库文章中的说明手动更改注册表：
      http://support.microsoft.com/default.aspx?scid=kb;en-us;260694
      请注意，客户应该估计他们的环境下可用的最大缓冲区大小并按此进行设置，但是任何情况下缓冲区的设置不能大于 64K。Microsoft 建议的合理值为 16K。16k 将是 URL 缓冲区大小注册工具自动设置的界限。
    • 由 IIS 锁定工具安装的 URLScan 也会阻止可被用来利用此弱点的 Web 请求。可以从以下位置得到 URLScan 工具：
      http://www.microsoft.com/technet/security/tools/tools/urlscan.asp
      请注意，虽然 IIS 锁定工具可阻止此攻击和其他许多攻击成功执行，但它在特定的环境下可能会干扰您的 Web 服务器的功能。虽然可能只允许您使用 IIS 锁定工具禁用 WebDAV，但您应该考虑应用所有锁定（包括 URLScan）。
      在下列位置可以找到关于如何自定义和配置 URLScan 的信息：
      http://support.microsoft.com/default.aspx?scid=kb;[LN];326444
      下列位置提供了有关如何使用 IIS 锁定工具的信息：
      http://support.microsoft.com/default.aspx?scid=kb;EN-US;325864

修补程序能做什么？
此修补程序通过更改受影响的 Windows 组件接受请求的方法来纠正此问题。


修补程序可用性

此修补程序 Microsoft Windows 2000 的下载位置：

Windows 2000 的修补程序在下列位置可用：

  • All except Japanese NEC
  • Japanese NEC


有关此修补程序的附加信息

安装平台：
此修补程序可以安装在运行 Windows 2000 的系统上 Service Pack 2 或 Service Pack 3。

包含新服务包：
Windows 2000 Service Pack 4 中将包含对此问题的修复。

是否需要重新启动：是

修补程序能否卸载：是

替代修补程序：无。

验证修补程序安装：

要验证修补程序是否已安装到计算机上，请确认计算机上已创建了以下注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP4\Q815021。
要验证各个文件，请使用以下注册表项中提供的日期/时间和版本信息：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP4\Q815021\Filelist。

注意事项：无

本地化：
此修补程序的本地化版本可从“修补程序可用性”中所述的位置获得。

获取其他安全修补程序：
有关其他安全问题的修补程序可从以下位置获得：

  • 从 Microsoft Download Center 可获得安全修补程序，最容易找到的方法是使用“ecurity_patch”作为关键字进行搜索。
  • 有关客户平台的修补程序可从 Microsoft Update Web 站点获得。

其他信息：

支持：

  • Microsoft 知识库文章 815021 讨论了此问题。其他知识库文章可以在 Microsoft 在线支持 Web 站点上找到。
  • 技术支持可以从 Microsoft 产品支持服务获得。与安全修补程序相关的支持电话是免费的。

安全资源：Microsoft TechNet Security Web 站点提供有关 Microsoft 产品安全性的附加信息。

免责声明：
Microsoft 知识库中的信息是按“原样”提供的，不带任何形式的担保。Microsoft 否认所有明示或暗示的担保，包括适销性和针对特定目的的适用性的担保。即使 Microsoft Corporation 或其供应商事先已被告知损害发生的可能性，Microsoft Corporation 或其供应商也不就任何直接、间接、意外或衍生性的企业利润损失或特殊损害承担任何责任。一些州不允许排除或限制对衍生性或意外损害所负的责任，因此前面所述的限制可能不适用。

修订： V1.0（2003年3月17日）：公告创建。