Microsoft 安全公告 MS04-044
Windows 内核和 LSASS 中的漏洞可能允许特权提升 (885835)。
发布日期：2004 年 12 月 14 日
版本：1.0
摘要
本文的目标读者：使用 Microsoft Windows 的客户
漏洞的影响：特权提升
最高严重等级：重要
建议：客户应尽早安装该更新。
安全更新替代：本公告替代多个以前的安全更新。 有关完整列表，请参见本公告的“常见问题解答”(FAQ) 部分。
注意事项：Microsoft 知识库文章 885835 介绍了当前已知的用户在安装此安全更新时可能遇到的问题。 这篇文章还介绍了这些问题的建议解决办法。 有关详细信息，请参阅 Microsoft 知识库文章 885835。
测试过的软件和安全更新下载位置：
受影响的软件：
| • | Microsoft Windows NT Server 4.0 Service Pack 6a – 下载此更新 |
| • | Microsoft Windows NT Server 4.0 终端服务器版 Service Pack 6 – 下载此更新 [英文] |
| • | Microsoft Windows 2000 Service Pack 3 和 Microsoft Windows 2000 Service Pack 4 – 下载此更新 |
| • | Microsoft Windows XP Service Pack 1和 Microsoft Windows XP Service Pack 2－下载此更新 |
| • | Microsoft Windows XP 64-Bit Edition Service Pack 1 – 下载此更新 [英文] |
| • | Microsoft Windows XP 64 位版本（2003 版）– 下载此更新 [英文] |
| • | Microsoft Windows Server 2003 – 下载此更新 |
| • | Microsoft Windows Server 2003 64 位版本 – 下载此更新 [英文] |
不受影响的软件：
| • | Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE) 和 Microsoft Windows Millennium Edition (ME) |
已对此列表中的软件进行了测试，以确定这些版本是否会受到影响。 其它版本或者不再包括安全更新支持，或者可能不会受到影响。 要确定产品和版本的技术支持生命周期，请访问 Microsoft 产品技术支持生命周期网站。
一般信息
摘要 |
摘要：
该更新可消除一些秘密报告的新发现的漏洞。 本公告中的“漏洞详细资料”部分分别对每个漏洞进行了说明。
如果攻击者成功地利用了这些漏洞中最严重的漏洞，就能完全控制受影响的系统，包括：安装程序，查看、更改或删除数据，或者创建拥有完全权限的新帐户。
我们建议客户应尽早安装该更新。
严重等级和漏洞标识：
| 漏洞标识 | 安全漏洞的影响 | Windows NT 4.0 | Windows 2000 | Windows XP Service Pack 1 | Windows XP Service Pack 2 和 Windows Server 2003 |
Windows 内核漏洞 - CAN-2004-0893 | 特权提升 | 重要事项 | 重要事项 | 重要事项 | 中等 |
LSASS 漏洞 - CAN-2004-0894 | 特权提升 | 无 | 重要事项 | 重要事项 | 重要事项 |
所有漏洞的综合严重程度 |
| 重要 | 重要 | 重要 | 重要 |
此评估是基于以下几点作出的：受此漏洞影响的系统类型，它们的典型部署模式，以及利用此漏洞会对它们产生什么影响。
与此安全更新相关的常见问题解答 (FAQ) |
此更新为何消除了多个已报告的安全漏洞？
此更新之所以包含对某些漏洞的支持，是因为解决这些问题所需的修改位于相关的文件中。 用户只需安装此更新就可以了，而不用安装多个几乎相同的更新。
此版本取代哪些更新？
此安全更新替代以前的一些安全公告。 下表列出了相应的安全公告 ID 和受影响的操作系统。
| 公告 ID | Windows NT 4.0 | Windows 2000 | Windows XP | Windows Server 2003 |
不适用 | 不适用 | 已取代 | 不适用 | |
已取代 | 已取代 | 已取代 | 不适用 |
我仍在使用 Microsoft Windows NT 4.0 Workstation Service Pack 6a 或 Windows 2000 Service Pack 2，但是延长安全更新支持已于 2004 年 6 月 30 日结束。 我该怎么办？
如前所述，Windows NT 4.0 Workstation Service Pack 6a 和 Windows 2000 Service Pack 2 已经 到达其生命周期的末尾。 Microsoft 将此支持延长到 2004 年 6 月 30 日。
使用这些操作系统版本的客户应优先考虑迁移到受支持的版本，以防止可能会受到以后新出现的漏洞的影响。 有关 Windows 产品生命周期的详细 信息，请访问以下 Microsoft 产品技术支持生命周期 Web 站点。 有关这些操作系统版本的延长安全更新支持周期的详细信息，请访问以下 Microsoft 产品支持服务 Web 站点。
如果用户需要获得额外的 Windows NT Workstation 4.0 SP6a 支持，则必须与其 Microsoft 客服小组代表、其技术客户经理或相应的 Microsoft 合作伙伴代表联系以了解定制支持选项。 没有联合合同、优先支持合同或授权合同的客户可与其当地的 Microsoft 销售分支机构联系。 有关联系信息，请访问 Microsoft Worldwide Information 网站，选择所在国家/地区，然后单击 Go 以查看电话号码列表。 在打电话时，请找当地“优先支持”销售经理进行洽谈。
有关详细信息，请参阅 Windows 操作系统常见问题解答。
我仍在使用 Windows XP，但延长安全更新支持已于 2004 年 9 月 30 日结束。 我该怎么办？
Windows XP 的原始版本（通常称为 Windows XP Gold 或 Windows XP Release to Manufacturing (RTM) 版本）的延长安全更新支持生命周期已在 2004 年 9 月 30 日结束。
使用此操作系统版本的用户最好迁移到受支持的操作系统版本，以防止可能会受到漏洞的影响。 有关 Windows Service Pack 产品生命周期的详细信息，请访问 Microsoft 产品技术支持生命周期 Web 站点。 有关 Windows 产品生命周期的详细信息，请访问 Microsoft 产品技术支持生命周期网站。
有关详细信息，请访问 Windows 操作系统常见问题解答。
可否使用 Microsoft Baseline Security Analyzer (MBSA) 确定是否需要此更新？
是。 MBSA 可以确定是否需要此更新。 有关 MBSA 的详细信息，请访问 MBSA 网站。
注意：在 2004 年 4 月 20 日以后，将不再使用新的安全公告数据来更新 MBSA 1.1.1 及更早版本所使用的 Mssecure.xml 文件。 因此，该日期后使用 MBSA 1.1.1 或更早版本所进行的扫描将是不完整的。 所有用户都应升级到 MBSA 1.2，因为该版本提供更准确的安全更新检测，并支持其它的产品。 用户可以从MBSA 网站下载 MBSA MBSA 1.2.1。 有关 MBSA 支持的详细信息，请访问以下 Microsoft Baseline Security Analyzer 1.2 问题与解答网站。
可否使用 Systems Management Server (SMS) 确定是否需要此更新？
是。 SMS 可以帮助您检测和部署此安全更新。 有关 SMS 的信息，请访问 SMS 网站。 需要使用安全性更新盘点工具检测 Microsoft Windows 和其他受影响的 Microsoft 产品。 有关安全性更新盘点工具的限制的详细信息，请参阅 Microsoft 知识库文章 306460
漏洞详细资料 |
Windows 内核漏洞 - CAN-2004-0893： |
在 Windows 内核启动应用程序的方式中存在一个权限提升漏洞。 已登录的用户可通过利用此漏洞完全控制系统。
Windows 内核漏洞 (CAN-2004-0893) 的缓解因素 |
| • | 攻击者必须拥有有效的登录凭据并能本地登录才能利用此漏洞。 匿名用户无法利用此漏洞，也无法以远程方式利用此漏洞。 |
| • | 试图在正在运行 Windows XP Service Pack 2 或 Windows Server 2003 的系统中利用此漏洞，很可能导致否定服务条件。 |
Windows 内核漏洞 (CAN-2004-0893) 的变通办法： |
我们并未发现此漏洞的任何变通办法。
Windows 内核漏洞 (CAN-2004-0893) 的常见问题指南： |
此漏洞的影响范围有多大？
这是特权提升漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统，包括：安装程序；查看、更改或删除数据；或者创建拥有完全权限的新帐户等。 要利用此漏洞，攻击者必须能够本地登录到系统并运行程序。
造成漏洞的原因是什么？
本地过程调用 (LPC) 界面中的未校验缓冲区不验证对通过 LPC 端口发送的数据大小的限制。
什么是 LPC？
LPC 是 Windows 提供的消息传递服务。 这项服务允许线程与进程间互相通信。 如果客户端进程必须向服务器进程请求服务，就必须有通道可供这两个进程间互相通信。 一定存在某种方式，可供客户端进程向服务器发出请求，供服务器向客户端发送响应，以及供客户端和服务器确定其状态。 当客户端进程与服务器进程位于不同系统时，使用远程过程调用 (RPC)。 当它们位于同一台计算机上时，则可以使用 LPC。
什么是 LPC 端口？
每个 LPC 具有一个通信通道的集合，这些通信通道即 LPC 端口。 每个端口带有一种类型的通信。 例如，一个 LPC 始终有一个用于允许一台客户端向服务器发送消息的端口，和一个允许服务器向各客户端发送消息的端口。 LPC 可能还具有用于其他用途的其他端口，如允许进程中的多个线程协调其请求的端口。
攻击者可能利用此漏洞执行什么操作？
成功利用此漏洞的攻击者可以完全控制受影响的系统，包括：安装程序；查看、更改或删除数据；或者创建拥有完全权限的新帐户等。
哪些人可能会利用此漏洞？
要利用此漏洞，攻击者必须能够以本地方式登录到系统并运行程序。
攻击者如何利用此漏洞？
要利用此漏洞，攻击者必须先登录到系统。 然后，攻击者可以运行一个专门为利用此漏洞而设计的应用程序，从而完全控制受影响的系统。
受此漏洞威胁最大的系统有哪些？
工作站和终端服务器受到的威胁最大。 只有当没有足够管理凭据的用户被授予登录到服务器并运行程序的权限时，服务器才会有危险。 不过，最佳做法是不要授予这样的权限。
是否可以通过 Internet 利用此漏洞？
否。 攻击者必须能够登录到作为攻击目标的特定系统。 攻击者无法利用此漏洞远程加载和运行程序。
此更新有什么作用？
此更新在将消息传递到分配的缓冲区之前，通过修改 Windows 内核验证消息长度的方式来消除此漏洞。
发布此安全公告时，此漏洞是否已公开披露？
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开披露的信息。
在发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击用户的信息，也没有看到任何发布的概念代码证明示例。
LSASS 漏洞 - CAN-2004-0894： |
在 LSASS 验证识别标记的方式中存在一个特权提升漏洞。 已登录的用户可通过利用此漏洞完全控制系统。
LSASS 漏洞 (CAN-2004-0894) 的缓解因素： |
| • | 攻击者必须拥有有效的登录凭据并能本地登录才能利用此漏洞。 匿名用户无法利用此漏洞，也无法以远程方式利用此漏洞。 不过，一旦攻击者完全控制了某个受影响的系统，就能使用该系统攻击其他网络资源。 |
| • | Windows NT 4.0 Server 不受此漏洞的影响。 |
LSASS 漏洞 (CAN-2004-0894) 的变通办法： |
Microsoft 已测试过以下变通办法。 尽管这些变通办法不能从根本上消除此漏洞，但它们有助于阻塞已知的攻击媒介。 如果某种变通办法导致功能下降，在下面将进行说明。
我们并未发现此漏洞的任何变通办法。
LSASS 漏洞 (CAN-2004-0894) 的常见问题指南 - ： |
此漏洞的影响范围有多大？
这是特权提升漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统，包括：安装程序；查看、更改或删除数据；或者创建拥有完全权限的新帐户等。 要利用此漏洞，攻击者必须能够本地登录到系统并运行程序。
造成漏洞的原因是什么？
本地安全验证子系统服务对连接信息的不完全验证。
什么是 LSASS？
本地安全验证子系统服务 (LSASS) 提供了一个用于管理本地安全、域身份验证和 Active Directory 服务进程的接口。 它处理客户端和服务器的身份验证。 它还包含一些用于支持 Active Directory 实用工具的功能。
攻击者可能利用此漏洞执行什么操作？
成功利用此漏洞的攻击者可以完全控制受影响的系统，包括：安装程序；查看、更改或删除数据；或者创建拥有完全权限的新帐户等。
哪些人可能会利用此漏洞？
要利用此漏洞，攻击者必须能够以本地方式登录到系统并运行程序。
攻击者如何利用此漏洞？
要利用此漏洞，攻击者必须先登录到系统。 然后，攻击者可以运行一个专门为利用此漏洞而设计的应用程序，从而完全控制受影响的系统。 一旦攻击者完全控制了某个受影响的系统，就可使用该系统攻击其他网络资源。
受此漏洞威胁最大的系统有哪些？
工作站和终端服务器受到的威胁最大。 只有当没有足够管理凭据的用户被授予登录到服务器并运行程序的权限时，服务器才会有危险。 不过，最佳做法是不要授予这样的权限。
是否可以通过 Internet 利用此漏洞？
否。 攻击者必须能够登录到作为攻击目标的特定系统。 攻击者无法利用此漏洞远程加载和运行程序。
此更新有什么作用？
此更新通过更改 LSASS 验证连接信息的方式删除该漏洞。
发布此安全公告时，此漏洞是否已公开披露？
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开披露的信息。
在发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击用户的信息，也没有看到任何发布的概念证明代码示例。
安全更新信息 |
安装平台和先决条件：
有关针对您的平台的特定安全更新的信息，请单击相应的链接：
Windows Server 2003（所有版本） |
先决条件
此安全更新需要 Windows Server 2003 的发布版本。
包括在 Future Service Pack 中：
此问题的更新将包括在 Windows Server 2003 Service Pack 1 中。
安装信息
此安全更新支持以下安装开关：
/help 显示命令行选项
安装模式
/quiet 安静模式（无用户交互或显示）
/passive 无人参与模式（只显示进度栏）
/uninstall 卸载程序包
重新启动选项
/norestart 安装完成后不重新启动
/forcerestart 安装完成后重新启动
特殊选项
/l 列出已安装的 Windows 修复程序或更新程序包
/o 不经提示而覆盖 OEM 文件
/n 不备份卸载所需的文件
/f 在计算机关机时强制关闭其他程序
/integrate:path 将更新集成入位于指定路径的 Windows 源文件中。
/extract 提取文件而不启动安装程序
注意：这些开关可以在一个命令中组合使用。 为了保持向后兼容，此安全更新还支持以前版本的安装实用工具所使用的安装开关。 有关受支持的安装开关的详细信息，请参阅 Microsoft 知识库文章 262841。 有关 Update.exe 安装程序的详细信息，请访问 Microsoft TechNet 网站。
部署信息
对于 Windows Server 2003，要在没有任何用户干预的情况下安装此安全更新，请在命令提示符处使用以下命令：
Windowsserver2003-kb885835-x86-enu /passive /quiet
对于 Windows Server 2003，要安装此安全更新而不强制重新启动系统，请在命令提示符处使用以下命令：
Windowsserver2003-kb885835-x86-enu /norestart
有关如何使用软件更新服务部署此安全更新的信息，请访问软件更新服务网站。
重新启动要求
应用此安全更新后，必须重新启动系统。
删除信息
要删除此更新，请使用“控制面板”中的“添加/删除程序”工具。
系统管理员也可以使用 Spuninst.exe 实用工具删除此安全更新。 Spuninst.exe 实用工具位于 %Windir%\$NTUninstallKB885835$\Spuninst 文件夹中。 Spuninst.exe 实用工具支持以下安装开关：
/help 显示命令行选项
安装模式
/quiet 安静模式（无用户交互或显示）
/passive 无人参与模式（只显示进度栏）
重新启动选项
/norestart 安装完成后不重新启动
/forcerestart 安装完成后重新启动
特殊选项
/f 在计算机关机时强制关闭其他程序
文件信息
此更新的英文版具有下表所列的文件属性（或更高版本）。 这些文件的日期和时间以协调世界时 (UTC) 列出。 当您查看文件信息时，它将转换为本地时间。 要了解 UTC 与本地时间之间的时差，请使用“控制面板”上的“日期/时间”工具中的“时区”选项卡。
Windows Server 2003 Enterprise Edition、Windows Server 2003 Standard Edition、Windows Server 2003 Web Edition 和 Windows Server 2003 Datacenter Edition：
| 文件名 | 版本 | 日期 | 时间 | 大小 | 文件夹 |
Lsasrv.dll | 5.2.3790.220 | 2004 年 10 月 18 日 | 08:58 | 799,232 | RTMGDR |
Mrxsmb.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:38 | 394,240 | RTMGDR |
Rdbss.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:38 | 157,184 | RTMGDR |
Eventlog.dll | 5.2.3790.212 | 2004 年 10 月 18 日 | 14:12 | 64,000 | RTMQFE |
Lsasrv.dll | 5.2.3790.220 | 2004 年 10 月 18 日 | 14:12 | 801,792 | RTMQFE |
Mrxsmb.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:29 | 395,264 | RTMQFE |
Rdbss.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:29 | 158,208 | RTMQFE |
Windows Server 2003 64-Bit Enterprise Edition 和 Windows Server 2003 64-Bit Datacenter Edition：
| 文件名 | 版本 | 日期 | 时间 | 大小 | CPU | 文件夹 |
Lsasrv.dll | 5.2.3790.220 | 2004 年 10 月 18 日 | 08:58 | 2,034,176 | IA-64 | RTMGDR |
Mrxsmb.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:40 | 1,121,280 | IA-64 | RTMGDR |
Rdbss.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:39 | 462,336 | IA-64 | RTMGDR |
Eventlog.dll | 5.2.3790.212 | 2004 年 10 月 18 日 | 09:00 | 167,936 | IA-64 | RTMQFE |
Lsasrv.dll | 5.2.3790.220 | 2004 年 10 月 18 日 | 09:00 | 2,038,784 | IA-64 | RTMQFE |
Mrxsmb.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:30 | 1,123,328 | IA-64 | RTMQFE |
Rdbss.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:30 | 464,896 | IA-64 | RTMQFE |
注意：当您在 Windows Server 2003 上安装此安全更新时，安装程序会查看您系统上正在更新的任何文件以前是否已由 Microsoft 修复程序更新。 如果之前已安装了修复程序以更新某个受影响的文件，安装程序就会将 RTMQFE 文件复制到系统中。 否则，安装程序将 RTMGDR 文件复制到系统中。
有关此问题的详细信息，请参阅 Microsoft 知识库文章 824994。
有关 Update.exe 安装程序的详细信息，请访问 Microsoft TechNet 网站。
有关此公告中出现术语的详细信息（如修复程序），请参阅 Microsoft 知识库文章 824684。
验证更新安装
| • | Microsoft Baseline Security Analyzer 要验证受影响的系统上是否安装了安全更新，可以使用 Microsoft Baseline Security Analyzer (MBSA) 工具。 管理员可以使用此工具，在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。 有关 MBSA 的详细信息，请访问 Microsoft Baseline Security Analyzer 网站。 | ||||||||||
| • | 文件版本验证 注意：由于 Microsoft Windows 有多个版本，因此以下步骤在您的计算机上可能会有所不同。 如果不同，请参阅产品文档来完成这些步骤。
| ||||||||||
| • | 注册表项验证 也可以通过查看以下注册表项，检查此安全更新已安装的文件。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP1\KB885835\Filelist 注意：此注册表项可能不包含已安装文件的完整列表。 另外，如果管理员或 OEM 将 885835 安全更新集成或组合到 Windows 安装源文件中，则可能无法正确创建此注册表项。 |
Windows XP（所有版本） |
注意：对于 Windows XP 64-Bit Edition Version 2003，此安全更新与 Windows Server 2003 64-Bit Edition 的安全更新相同。
先决条件
此安全更新需要 Windows XP Service Pack 1 (SP1) 或 Windows XP Service Pack 2 的发布版本。 有关详细信息，请参阅 Microsoft 知识库文章 322389。
包括在 Future Service Pack 中：
Windows XP Service Pack 3 中包括此问题的更新。
安装信息
此安全更新支持以下安装开关：
/help 显示命令行选项
安装模式
/quiet 安静模式（无用户交互或显示）
/passive 无人参与模式（只显示进度栏）
/uninstall 卸载程序包
重新启动选项
/norestart 安装完成后不重新启动
/forcerestart 安装完成后重新启动
特殊选项
/l 列出已安装的 Windows 修复程序或更新程序包
/o 不经提示而覆盖 OEM 文件
/n 不备份卸载所需的文件
/f 在计算机关机时强制关闭其他程序
/integrate:path 将更新集成入位于指定路径的 Windows 源文件中。
/extract 提取文件而不启动安装程序
注意：这些开关可以在一个命令中组合使用。 为了保持向后兼容，此安全更新还支持以前版本的安装实用工具所使用的安装开关。 有关受支持的安装开关的详细信息，请参阅 Microsoft 知识库文章 262841。 有关 Update.exe 安装程序的详细信息，请访问 Microsoft TechNet 网站。
部署信息
对于 Windows XP，要在没有任何用户干预的情况下安装此安全更新，请在命令提示符处使用以下命令：
Windowsxp-kb885835-x86-enu /passive /quiet
对于 Windows XP，要安装此安全更新而不强制重新启动系统，请在命令提示符处使用以下命令：
Windowsxp-kb885835-x86-enu /norestart
有关如何使用软件更新服务部署此安全更新的详细信息，请访问 Software Update Services 网站。
重新启动要求
应用此安全更新后，必须重新启动系统。
删除信息
要删除此安全更新，请使用“控制面板”中的“添加或删除程序”工具。
系统管理员也可以使用 Spuninst.exe 实用工具删除此安全更新。 Spuninst.exe 位于 %Windir%\$NTUninstallKB885835$\Spuninst 文件夹中。 Spuninst.exe 实用工具支持以下安装开关：
/help 显示命令行选项
安装模式
/quiet 安静模式（无用户交互或显示）
/passive 无人参与模式（只显示进度栏）
重新启动选项
/norestart 安装完成后不重新启动
/forcerestart 安装完成后重新启动
特殊选项
/f 在计算机关机时强制关闭其他程序
文件信息
此更新的英文版具有下表所列的文件属性（或更高版本）。 这些文件的日期和时间以协调世界时 (UTC) 列出。 当您查看文件信息时，它将转换为本地时间。 要了解 UTC 与本地时间之间的时差，请使用“控制面板”上的“日期/时间”工具中的“时区”选项卡。
Windows XP Home Edition Service Pack 1、Windows XP Professional Service Pack 1、Windows XP Tablet PC Edition、Windows XP Media Center Edition、Windows XP Home Edition Service Pack 2、Windows XP Professional Service Pack 2、Windows XP Tablet PC Edition 2005 和 Windows XP Media Center Edition 2005：
| 文件名 | 版本 | 日期 | 时间 | 大小 | 文件夹 |
Cscdll.dll | 5.1.2600.1599 | 2004 年 10 月 28 日 | 01:29 | 92,160 | SP1QFE |
Lsasrv.dll | 5.1.2600.1597 | 2004 年 10 月 28 日 | 01:29 | 681,984 | SP1QFE |
Mrxsmb.sys | 5.1.2600.1599 | 2004 年 10 月 12 日 | 16:22 | 436,608 | SP1QFE |
Ntkrnlmp.exe | 5.1.2600.1605 | 2004 年 10 月 22 日 | 07:29 | 1,900,032 | SP1QFE |
Ntkrnlpa.exe | 5.1.2600.1605 | 2004 年 10 月 22 日 | 07:29 | 1,955,840 | SP1QFE |
Ntkrpamp.exe | 5.1.2600.1605 | 2004 年 10 月 22 日 | 07:29 | 1,928,704 | SP1QFE |
Ntoskrnl.exe | 5.1.2600.1605 | 2004 年 10 月 22 日 | 08:33 | 2,088,448 | SP1QFE |
Rdbss.sys | 5.1.2600.1599 | 2004 年 10 月 12 日 | 16:22 | 170,112 | SP1QFE |
Shsvcs.dll | 6.0.2800.1605 | 2004 年 10 月 28 日 | 01:29 | 116,736 | SP1QFE |
Lsasrv.dll | 5.1.2600.2525 | 2004 年 10 月 28 日 | 01:21 | 721,920 | SP2GDR |
Mrxsmb.sys | 5.1.2600.2541 | 2004 年 10 月 28 日 | 01:14 | 448,128 | SP2GDR |
Rdbss.sys | 5.1.2600.2541 | 2004 年 10 月 28 日 | 01:13 | 174,592 | SP2GDR |
Lsasrv.dll | 5.1.2600.2525 | 2004 年 10 月 28 日 | 01:28 | 721,920 | SP2QFE |
Mrxsmb.sys | 5.1.2600.2541 | 2004 年 10 月 28 日 | 01:15 | 448,128 | SP2QFE |
Rdbss.sys | 5.1.2600.2541 | 2004 年 10 月 28 日 | 01:14 | 174,592 | SP2QFE |
Windows XP 64-Bit Edition Service Pack 1：
| 文件名 | 版本 | 日期 | 时间 | 大小 | CPU | 文件夹 |
Cscdll.dll | 5.1.2600.1599 | 2004 年 10 月 28 日 | 01:29 | 237,056 | IA-64 | SP1QFE |
Lsasrv.dll | 5.1.2600.1597 | 2004 年 10 月 28 日 | 01:29 | 2,072,064 | IA-64 | SP1QFE |
Mrxsmb.sys | 5.1.2600.1599 | 2004 年 10 月 12 日 | 05:07 | 1,287,552 | IA-64 | SP1QFE |
Ntkrnlmp.exe | 5.1.2600.1605 | 2004 年 10 月 22 日 | 07:30 | 5,833,344 | IA-64 | SP1QFE |
Ntoskrnl.exe | 5.1.2600.1605 | 2004 年 10 月 22 日 | 07:30 | 5,776,256 | IA-64 | SP1QFE |
Rdbss.sys | 5.1.2600.1599 | 2004 年 10 月 12 日 | 05:07 | 496,000 | IA-64 | SP1QFE |
Shsvcs.dll | 6.0.2800.1605 | 2004 年 10 月 28 日 | 01:29 | 326,144 | IA-64 | SP1QFE |
Wcscdll.dll | 5.1.2600.1599 | 2004 年 10 月 28 日 | 01:29 | 92,160 | x86 | SP1QFE\WOW |
Wshsvcs.dll | 6.0.2800.1605 | 2004 年 10 月 28 日 | 01:29 | 116,736 | x86 | SP1QFE\WOW |
Windows XP 64-Bit Edition Version 2003：
| 文件名 | 版本 | 日期 | 时间 | 大小 | CPU | 文件夹 |
Lsasrv.dll | 5.2.3790.220 | 2004 年 10 月 18 日 | 08:58 | 2,034,176 | IA-64 | RTMGDR |
Mrxsmb.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:40 | 1,121,280 | IA-64 | RTMGDR |
Rdbss.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:39 | 462,336 | IA-64 | RTMGDR |
Eventlog.dll | 5.2.3790.212 | 2004 年 10 月 18 日 | 09:00 | 167,936 | IA-64 | RTMQFE |
Lsasrv.dll | 5.2.3790.220 | 2004 年 10 月 18 日 | 09:00 | 2,038,784 | IA-64 | RTMQFE |
Mrxsmb.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:30 | 1,123,328 | IA-64 | RTMQFE |
Rdbss.sys | 5.2.3790.221 | 2004 年 10 月 12 日 | 00:30 | 464,896 | IA-64 | RTMQFE |
注意：此安全更新的 Windows XP 和 Windows XP 64-Bit Edition Version 2003 已打包为双模式程序包。 这些双模式程序包包含适用于 Windows XP Service Pack 1 (SP1) 原始版本的文件和适用于 Windows XP Service Pack 2 (SP2) 的文件。
有关双模式程序包的详细信息，请参阅 Microsoft 知识库文章 328848。
在 Windows XP SP2 或 Windows XP 64-Bit Edition Version 2003 上安装此安全更新时，安装程序检查 Microsoft 修复程序是否正在更新系统中的一个或更多文件。
如果之前已安装了修复程序用于更新受影响的文件，则将视您的操作系统而出现下列情况之一：
| • | Windows XP SP2 |
| • | Windows XP 64-Bit Edition Version 2003 |
如果之前已安装了修复程序用以更新某个受影响的文件，则将视您的操作系统而出现下列情况之一：
| • | Windows XP SP2 |
| • | Windows XP 64-Bit Edition Version 2003 |
有关此问题的详细信息，请参阅 Microsoft 知识库文章 824994。
有关 Update.exe 安装程序的详细信息，请访问 Microsoft TechNet 网站。
有关此公告中出现的术语详细信息（如修复程序），请参阅 Microsoft 知识库文章 824684。
验证更新安装
| • | Microsoft Baseline Security Analyzer 要验证受影响的系统上是否安装了安全更新，可以使用 Microsoft Baseline Security Analyzer (MBSA) 工具。 管理员可以使用此工具，在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。 有关 MBSA 的详细信息，请访问 Microsoft Baseline Security Analyzer 网站。 | ||||||||||
| • | 文件版本验证 注意：由于 Microsoft Windows 有多个版本，因此以下步骤在您的计算机上可能会有所不同。 如果不同，请参阅产品文档来完成这些步骤。
| ||||||||||
| • | 注册表项验证 也可以通过查看以下注册表项，检查此安全更新已安装的文件。 对于 Windows XP Home Edition Service Pack 1、Windows XP Professional Service Pack 1、Windows XP Tablet PC Edition、Windows XP Media Center Edition、Windows XP Home Edition Service Pack 2、Windows XP Professional Service Pack 2、Windows XP Tablet PC Edition 2005 和 Windows XP Media Center Edition 2005： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB885835\Filelist 对于 Windows XP 64-Bit Edition Version 2003： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP1\KB885835\Filelist 注意：这些注册表项可能不包含已安装文件的完整列表。 另外，如果管理员或 OEM 将 885835 安全更新集成或组合到 Windows 安装源文件中，则可能无法正确创建这些注册表项。 |
Windows 2000（所有版本） |
先决条件
对于 Windows 2000，此安全更新要求 Service Pack 3 (SP3) 或 Service Pack 4 (SP4)。
已对列出的软件进行了测试，以确定这些版本是否会受到影响。 其它版本或者不再包括安全更新支持，或者可能不会受到影响。 要确定产品和版本的技术支持生命周期，请访问 Microsoft 产品技术支持生命周期网站。
有关如何获得最新 Service Pack 的详细信息，请参阅 Microsoft 知识库文章 260910。
包括在 Future Service Pack 中：
此问题的更新将包括在将来的 Update Rollup 中。
安装信息
此安全更新支持以下安装开关：
/help 显示命令行选项
安装模式
/quiet 安静模式（无用户交互或显示）
/passive 无人参与模式（只显示进度栏）
/uninstall 卸载程序包
重新启动选项
/norestart 安装完成后不重新启动
/forcerestart 安装完成后重新启动
特殊选项
/l 列出已安装的 Windows 修复程序或更新程序包
/o 不经提示而覆盖 OEM 文件
/n 不备份卸载所需的文件
/f 在计算机关机时强制关闭其他程序
/integrate:path 将更新集成入位于指定路径的 Windows 源文件中。
/extract 提取文件而不启动安装程序
注意：这些开关可以在一个命令中组合使用。 为了保持向后兼容，此安全更新还支持以前版本的安装实用工具所使用的安装开关。 有关受支持的安装开关的详细信息，请参阅 Microsoft 知识库文章 262841。 有关 Update.exe 安装程序的详细信息，请访问 Microsoft TechNet 网站。 有关此公告中出现的术语详细信息（如修复程序），请参阅 Microsoft 知识库文章 824684。
部署信息
对于 Windows 2000 Service Pack 3 和 Windows 2000 Service Pack 4，要在没有任何用户干预的情况下安装此安全更新，请在命令提示符处使用以下命令：
Windows2000-kb885835-x86-enu /passive /quiet
对于 Windows 2000 Service Pack 3 和 Windows 2000 Service Pack 4，要安装此安全更新而不强制重新启动系统，请在命令提示符处使用以下命令：
Windows2000-kb885835-x86-enu /norestart
有关如何使用软件更新服务部署此安全更新的详细信息，请访问 Software Update Services 网站。
重新启动要求
应用此安全更新后，必须重新启动系统。
删除信息
要删除此安全更新，请使用“控制面板”中的“添加或删除程序”工具。
系统管理员也可以使用 Spuninst.exe 实用工具删除此安全更新。 Spuninst.exe 实用工具位于 %Windir%\$NTUninstallKB885835$\Spuninst 文件夹中。 Spuninst.exe 实用工具支持以下安装开关：
/help 显示命令行选项
安装模式
/quiet 安静模式（无用户交互或显示）
/passive 无人参与模式（只显示进度栏）
重新启动选项
/norestart 安装完成后不重新启动
/forcerestart 安装完成后重新启动
特殊选项
/f 在计算机关机时强制关闭其他程序
文件信息
此更新的英文版具有下表所列的文件属性（或更高版本）。 这些文件的日期和时间以协调世界时 (UTC) 列出。 当您查看文件信息时，它将转换为本地时间。 要了解 UTC 与本地时间之间的时差，请使用“控制面板”上的“日期/时间”工具中的“时区”选项卡。
注意：可以在安装期间更改日期、时间、文件名或大小信息。 有关如何验证安装的详细信息，请参见“验证更新安装”部分。
Windows 2000 Service Pack 3 和 Windows 2000 Service Pack 4：
| 文件名 | 版本 | 日期 | 时间 | 大小 |
Advapi32.dll | 5.0.2195.6876 | 2004 年 3 月 24 日 | 02:17 | 388,368 |
Browser.dll | 5.0.2195.6866 | 2004 年 3 月 24 日 | 02:17 | 69,904 |
Dnsapi.dll | 5.0.2195.6824 | 2004 年 3 月 24 日 | 02:17 | 134,928 |
Dnsrslvr.dll | 5.0.2195.6876 | 2004 年 3 月 24 日 | 02:17 | 92,432 |
Eventlog.dll | 5.0.2195.6883 | 2004 年 3 月 24 日 | 02:17 | 47,888 |
Kdcsvc.dll | 5.0.2195.6890 | 2004 年 3 月 24 日 | 02:17 | 143,632 |
Kerberos.dll | 5.0.2195.6903 | 2004 年 3 月 11 日 | 02:37 | 210,192 |
Ksecdd.sys | 5.0.2195.6824 | 2003 年 9 月 21 日 | 00:32 | 71,888 |
Lsasrv.dll | 5.0.2195.6987 | 2004 年 10 月 15 日 | 18:16 | 513,296 |
Lsass.exe | 5.0.2195.6902 | 2004 年 2 月 25 日 | 23:59 | 33,552 |
Mountmgr.sys | 5.0.2195.6897 | 2004 年 2 月 10 日 | 19:47 | 30,160 |
Mrxsmb.sys | 5.0.2195.6994 | 2004 年 11 月 1 日 | 05:24 | 409,424 |
Msv1_0.dll | 5.0.2195.6897 | 2004 年 3 月 11 日 | 02:37 | 123,152 |
Netapi32.dll | 5.0.2195.6949 | 2004 年 6 月 10 日 | 16:58 | 309,008 |
Netlogon.dll | 5.0.2195.6891 | 2004 年 3 月 24 日 | 02:17 | 371,472 |
Ntdsa.dll | 5.0.2195.6896 | 2004 年 3 月 24 日 | 02:17 | 1,028,880 |
Ntkrnlmp.exe | 5.0.2195.6992 | 2004 年 10 月 21 日 | 03:55 | 1,704,768 |
Ntkrnlpa.exe | 5.0.2195.6992 | 2004 年 10 月 21 日 | 03:56 | 1,704,320 |
Ntkrpamp.exe | 5.0.2195.6992 | 2004 年 10 月 21 日 | 03:56 | 1,726,080 |
Ntoskrnl.exe | 5.0.2195.6992 | 2004 年 10 月 21 日 | 03:55 | 1,681,408 |
Rdbss.sys | 5.0.2195.6988 | 2004 年 10 月 15 日 | 21:03 | 170,096 |
Samsrv.dll | 5.0.2195.6897 | 2004 年 3 月 24 日 | 02:17 | 388,368 |
Scecli.dll | 5.0.2195.6893 | 2004 年 3 月 24 日 | 02:17 | 111,376 |
Scesrv.dll | 5.0.2195.6903 | 2004 年 3 月 24 日 | 02:17 | 253,200 |
Sp3res.dll | 5.0.2195.6994 | 2004 年 10 月 30 日 | 07:07 | 6,140,416 |
W32time.dll | 5.0.2195.6824 | 2004 年 3 月 24 日 | 02:17 | 50,960 |
W32tm.exe | 5.0.2195.6824 | 2003 年 9 月 21 日 | 00:32 | 57,104 |
验证更新安装
| • | Microsoft Baseline Security Analyzer 要验证受影响的系统上是否安装了安全更新，可以使用 Microsoft Baseline Security Analyzer (MBSA) 工具。 管理员可以使用此工具，在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。 有关 MBSA 的详细信息，请访问 Microsoft Baseline Security Analyzer 网站。 | ||||||||||
| • | 文件版本验证 注意：由于 Microsoft Windows 有多个版本，因此以下步骤在您的计算机上可能会有所不同。 如果不同，请参阅产品文档来完成这些步骤。
| ||||||||||
| • | 注册表项验证 也可以通过查看以下注册表项，检查此安全更新已安装的文件： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB885835\Filelist 注意：此注册表项可能不包含已安装文件的完整列表。 另外，如果管理员或 OEM 将 885835 安全更新集成或组合到 Windows 安装源文件中，则可能无法正确创建此注册表项。 |
Windows NT 4.0（所有版本） |
先决条件
此安全更新要求 Windows NT Server 4.0 Service Pack 6a (SP6a) 或 Windows NT Server 4.0 Terminal Server Edition Service Pack 6 (SP6)。
已对列出的软件进行了测试，以确定这些版本是否会受到影响。 其它版本或者不再包括安全更新支持，或者可能不会受到影响。 要确定产品和版本的技术支持生命周期，请访问 Microsoft 产品技术支持生命周期网站。
有关如何获得最新 service pack 的详细信息，请参阅 Microsoft 知识库文章 152734。
安装信息
此安全更新支持以下安装开关：
/y：执行删除（仅与 /m 或 /q 一起使用）
/f：关机过程中强制程序退出
/n：请勿创建 Uninstall 文件夹
/z：更新完成后请勿重新启动
/q：使用不带用户界面的安静模式或无人参与模式（此开关是 /m 开关的超集)
/m：使用带用户界面的无人参与模式
/l：列出已安装的修复程序
/x：提取文件，但不运行安装程序
注意：这些开关可以在一个命令中组合使用。 有关受支持的安装开关的详细信息，请参阅 Microsoft 知识库文章 262841。 有关此公告中出现术语的详细信息（如修复程序），请参阅 Microsoft 知识库文章 824684。
部署信息
对于 Windows NT Server 4.0，要在没有任何用户干预的情况下安装此安全更新，请在命令提示符处使用以下命令：
Windowsnt4server-kb885835-x86-enu /q
对于 Windows NT Server 4.0 Terminal Server Edition：
Windowsnt4terminalserver-kb885835-x86-enu /q
对于 Windows NT Server 4.0，如果在安装此安全更新后不强制系统重新启动，请在命令提示符处使用以下命令：
Windowsnt4server-kb885835-x86-enu /z
对于 Windows NT Server 4.0 Terminal Server Edition：
Windowsnt4terminalserver-kb885835-x86-enu /z
重新启动要求
应用此安全更新后，必须重新启动系统。
删除信息
要删除此安全更新，请使用“控制面板”中的“添加/删除程序”工具。
系统管理员也可以使用 Hotfix.exe 实用工具删除此安全更新。 Hotfix.exe 实用工具位于 %Windir%\$NTUninstallKB885835$ 文件夹中。 Hotfix.exe 实用工具支持以下安装开关：
/y：执行删除（仅与 /m 或 /q 开关一起使用）
/f：关机过程中强制程序退出
/n：请勿创建 Uninstall 文件夹
/z：安装完成后请勿重新启动。
/q：使用不带用户界面的安静模式或无人参与模式（此开关是 /m 开关的超集）
/m：使用带用户界面的无人参与模式
/l：列出安装的修复程序
文件信息
此更新的英文版具有下表所列的文件属性（或更高版本）。 这些文件的日期和时间以协调世界时 (UTC) 列出。 当您查看文件信息时，它将转换为本地时间。 要了解 UTC 与本地时间之间的时差，请使用“控制面板”上的“日期/时间”工具中的“时区”选项卡。
注意：可以在安装期间更改日期、时间、文件名或大小信息。 有关如何验证安装的详细信息，请参见“验证更新安装”部分。
对于 Windows NT Server 4.0：
| 文件名 | 版本 | 日期 | 时间 | 大小 |
Ntkrnlmp.exe | 4.0.1381.7268 | 2004 年 10 月 11 日 | 14:39 | 958,336 |
Ntoskrnl.exe | 4.0.1381.7268 | 2004 年 10 月 11 日 | 14:39 | 938,048 |
对于 Windows NT Server 4.0 Terminal Server Edition：
| 文件名 | 版本 | 日期 | 时间 | 大小 |
Ntkrnlmp.exe | 4.0.1381.33591 | 2004 年 10 月 11 日 | 15:09 | 1,004,224 |
Ntoskrnl.exe | 4.0.1381.33591 | 2004 年 10 月 11 日 | 15:09 | 983,104 |
验证更新安装
| • | Microsoft Baseline Security Analyzer 要验证受影响的系统上是否安装了安全更新，可以使用 Microsoft Baseline Security Analyzer (MBSA) 工具。 管理员可以使用此工具，在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。 有关 MBSA 的详细信息，请访问 Microsoft Baseline Security Analyzer 网站。 | ||||||||||
| • | 文件版本验证 注意：由于 Microsoft Windows 有多个版本，因此以下步骤在您的计算机上可能会有所不同。 如果不同，请参阅产品文档来完成这些步骤。
| ||||||||||
| • | 注册表项验证 也可以通过查看以下注册表项，检查此安全更新已安装的文件： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB885835\File 1 注意：此注册表项可能不包含已安装文件的完整列表。 另外，如果管理员或 OEM 将 885835 安全更新集成或组合到 Windows 安装源文件中，则可能无法正确创建此注册表项。 |
鸣谢
Microsoft 感谢下列人员或组织与我们一起致力于保护客户的利益：
| • | Application Security Inc. 的 Cesar Cerrudo，感谢他报告 Windows 内核漏洞 (CAN-2004-0893) 和 LSASS 漏洞 (CAN-2004-0894)。 |
获取其他安全更新：
可从以下位置获得针对其他安全问题的更新：
| • | 可以从 Microsoft 下载中心获得安全更新：通过搜索关键字“安全修补程序”，可以非常方便地找到这些更新。 |
| • | 可从 Windows Update Web 站点获得有关用户平台的更新。 |
支持：
| • | 美国和加拿大的用户可拨打电话 1-866-PCSAFETY，从 Microsoft 产品支持服务获得技术支持。与安全更新有关的电话支持服务是免费的。 |
| • | 其他国家（或地区）的用户可从当地的 Microsoft 分公司获得支持。与安全更新有关的支持服务不收取任何费用。有关如何就支持问题与 Microsoft 取得联系方面的详细信息，请访问国际支持 Web 站点。 |
安全性资源：
| • | Microsoft TechNet 安全性 Web 站点提供了有关 Microsoft 产品安全性的详细信息。 |
| • | |
| • | Microsoft 基准安全分析器 (MBSA) |
| • | |
| • | Windows Update 目录：有关 Windows Update 目录的详细信息，请参见 Microsoft 知识库文章 323166。 |
| • |
软件更新服务：
通过使用 Microsoft 软件更新服务 (SUS)，管理员可以在基于 Windows 2000 和 Windows Server 2003 的服务器以及运行 Windows 2000 Professional 或 Windows XP Professional 的台式机系统上快速而可靠地部署最新的重要更新和安全更新。
有关如何使用软件更新服务部署此安全更新的详细信息，请访问软件更新服务 Web 站点。
Systems Management Server：
Microsoft Systems Management Server (SMS) 提供了一个用于管理更新且可高度配置的企业解决方案。通过使用 SMS，管理员可以确定需要安全更新且基于 Windows 的系统，并在整个企业中以可控制的方式执行这些更新的部署，而只对最终用户造成最低程度的干扰。有关管理员如何使用 SMS 2003 来部署安全更新的详细信息，请参见 SMS 2003 安全修补程序管理 Web 站点。SMS 2.0 用户还可以使用软件更新服务功能包帮助部署安全更新。有关 SMS 的信息，请访问 SMS Web 站点。
注意：SMS 使用 Microsoft 基准安全分析器和 Microsoft Office 检测工具，提供对安全公告更新检测和部署的广泛支持。这些工具可能检测不到某些软件更新。在这些情况下，管理员可以使用 SMS 的清单功能将更新部署到特定系统上。有关这一过程的详细信息，请参见以下 Web 站点。某些安全更新在重新启动系统后可能需要管理权限。管理员可以使用提升权限部署工具（在 SMS 2003 管理功能包和 SMS 2.0 管理功能包中提供）来安装这些更新。
免责声明：
Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定目的的适用性的保证。Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害，商业利润损失，或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。
修订：
| • | V1.0（2004 年 12 月 14 日）：已发布公告 |