Microsoft 安全公告 MS07-017

我们并未发现此漏洞的任何变通办法。

此漏洞的影响范围有多大？ 
这是一个权限提升漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 要尝试利用此漏洞，攻击者必须能够本地登录到系统并运行程序。

造成漏洞的原因是什么？ 
此漏洞是由于当 Windows 图形呈现引擎处理 WMF 和 EMF 文件类型时不正确地处理了为 Windows 内核保留的内存导致的。

攻击者可能利用此漏洞执行什么操作？ 
成功利用此漏洞的攻击者可以完全控制受影响的系统。

攻击者如何利用此漏洞？ 
要利用此漏洞，攻击者必须先登录到系统。 然后，攻击者可能执行作为常规用户运行的程序来利用此漏洞，并完全控制受影响的系统。

受此漏洞威胁最大的系统有哪些？ 
工作站受此漏洞的威胁最大。 如果管理员允许用户登录服务器并运行程序，服务器可能面临更大风险。 不过，最佳做法是不要授予这样的权限。

是否可以通过 Internet 利用此漏洞？ 
否。 攻击者必须能够登录到作为攻击目标的特定系统。 攻击者无法利用此漏洞远程加载和运行程序。

此更新有什么作用？ 
此更新通过修改创建句柄的方式来消除此漏洞。

发布此安全公告时，此漏洞是否已公开披露？ 
是。 在通过可靠的披露渠道提供初始报告的同时，后来相同的安全研究人员公开披露了该漏洞。 已为此漏洞分配了常见漏洞和披露号码 CVE-2006-5758。大型安全社区还将它命名为 GDI 内核本地特权提升漏洞。 此安全公告解决了公开披露的漏洞以及通过内部调查发现的其他问题。

在发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？ 
否。 在最初发布此安全公告时，Microsoft 看到了公开发布的概念证明代码示例，但未收到任何表明此漏洞已被公开用于攻击客户的信息。

应用此安全更新是否有助于防止客户运行已公开发布的试图利用此漏洞的代码？ 
是。 此安全更新将消除可能使用已发布的概念证明代码利用的漏洞。 已为解决的漏洞分配了常见漏洞和披露号码 CVE-2006-5758。

Microsoft 已测试以下变通办法。 尽管这些变通办法不能从根本上消除此漏洞，但它们有助于阻止已知的攻击媒介。 如果某种变通办法导致功能下降，下一节中将进行说明。

此漏洞的影响范围有多大？
这是一个拒绝服务漏洞 利用此漏洞的攻击者可能会导致受影响系统停止响应和自动重新启动。 注意，虽然攻击者无法利用拒绝服务漏洞来执行代码或提升权限，但此漏洞可能导致受影响的程序停止接受请求。

造成漏洞的原因是什么？
该漏洞是由于尝试读取包含无效内存引用的数据值导致的。

什么是 Windows 图元文件 (WMF) 图像格式？
WMF 图像格式是一种 16 位图元文件格式，其中可以同时包含矢量信息和位图信息。 它非常适合 Windows 操作系统。

有关图像类型和格式的详细信息，请参阅 Microsoft 知识库文章 320314。有关这些文件格式的其他信息，请访问 MSDN 技术资源库网站。

攻击者可能利用此漏洞执行什么操作？
成功利用此漏洞的攻击者可能导致受影响的系统停止响应和重新启动。

哪些人可能会利用此漏洞？
在基于 Web 的攻击中，攻击者必须拥有一个网站，其中包含用来试图利用此漏洞的网页。 攻击者无法强迫用户访问特制的网站。 相反，攻击者必须劝诱用户访问该网站，通常是让用户单击通向攻击者站点的链接。 它还可能使用横幅广告或其他方式显示特制的 Web 内容，以便将 Web 内容传递至受影响的系统。

攻击者如何利用此漏洞？
攻击者可能在受影响的系统上，通过诱使用户打开特制文件或查看包含特制图像的文件夹来利用此漏洞。 攻击者无法强制用户打开特制的文件，而可能通过预览电子邮件消息使其打开。

受此漏洞威胁最大的系统有哪些？  
工作站和终端服务器受到的威胁最大。 当没有足够管理权限的用户被授予登录到服务器并运行程序或浏览 Internet 的权限时，服务器会更有危险。 不过，最佳做法是不要授予这样的权限。

我当前是在 Windows Server 2003 上运行 Internet Explorer，这是否可以减轻此漏洞的影响？
是。 默认情况下，Windows Server 2003 上的 Internet Explorer 在一种称为“增强安全配置”的受限模式下运行。 此模式会将 Internet 区域的安全级别设置为“高”。 此缓解因素适用于未被添加到 Internet Explorer“受信任的站点”区域的网站。

什么是 Internet Explorer 增强安全配置？
Internet Explorer 增强安全配置是一组预先配置的 Internet Explorer 设置，可以降低用户或管理员在服务器上下载并运行特制 Web 内容的可能性。 Internet Explorer 增强安全配置通过修改许多与安全有关的设置降低此风险。 这些设置包括“Internet 选项”对话框中的“安全”和“高级”选项卡设置。 一些重要的修改包括：

有关 Internet Explorer 增强安全配置的详细信息，请参阅下列网站上的指南《管理 Internet Explorer 增强安全配置》。

此更新有什么作用？
此更新通过修改受影响的操作系统在特定情况下检查消息输入的方式来消除此漏洞。

发布此安全公告时，此漏洞是否已公开披露？
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

我们并未发现此漏洞的任何缓解因素。

我们并未发现此漏洞的任何变通办法。

此漏洞的影响范围有多大？ 
这是一个权限提升漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 要尝试利用此漏洞，攻击者必须能够本地登录到系统并运行程序。

造成漏洞的原因是什么？ 
当呈现增强型图元文件 (EMF) 图像格式文件时 GDI 中未经检查的缓冲区。

什么是增强型图元文件 (EMF) 图像格式？ 
EMF 图像格式是一个 32 位格式，其中可以同时包含矢量信息和位图信息。

有关图像类型和格式的详细信息，请参阅 Microsoft 知识库文章 320314。有关这些文件格式的其他信息，请访问 MSDN 技术资源库网站。

攻击者可能利用此漏洞执行什么操作？
成功利用此漏洞的攻击者可以完全控制受影响的系统。

攻击者如何利用此漏洞？ 
要利用此漏洞，攻击者必须先登录到系统。 然后，攻击者可能执行作为常规用户运行的程序来利用此漏洞，并完全控制受影响的系统。

受此漏洞威胁最大的系统有哪些？ 
工作站受此漏洞的威胁最大。 如果管理员允许用户登录服务器并运行程序，服务器可能面临更大风险。 不过，最佳做法是不要授予这样的权限。

是否可以通过 Internet 利用此漏洞？ 
否。 攻击者必须能够登录到作为攻击目标的特定系统。 攻击者无法利用此漏洞远程加载和运行程序。

此更新有什么作用？
此更新通过修改受影响的操作系统版本在将消息传递到分配的缓冲区之前验证消息长度的方式来消除此漏洞。

发布此安全公告时，此漏洞是否已公开披露？
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

攻击者必须能够本地登录才能利用此漏洞。 匿名用户无法利用此漏洞，也无法以远程方式利用此漏洞。

我们并未发现此漏洞的任何变通办法。

此漏洞的影响范围有多大？
这是一个权限提升漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 要尝试利用此漏洞，攻击者必须能够本地登录到系统并运行程序。

造成漏洞的原因是什么？
该漏洞是由于处理无效的应用程序窗口大小造成的。

什么是图形设备接口 (GDI)？
Microsoft Windows 图形设备接口 (GDI) 允许应用程序在视频显示和打印机上使用图形和格式化文本。 基于 Windows 的应用程序不直接访问图形硬件。 而是 GDI 代表应用程序与设备驱动程序进行交互。 有关 GDI 的详细信息，请访问下列 MSDN 文章。

攻击者可能利用此漏洞执行什么操作？
成功利用此漏洞的攻击者可以完全控制受影响的系统。

攻击者如何利用此漏洞？
攻击者可能试图通过创建特制的应用程序并在受影响的系统上执行该程序来利用此漏洞。 应用程序可能创建一系列传递无效参数的分层窗口。 这样做，未经授权的攻击者可以完全控制受影响的系统。

受此漏洞威胁最大的系统有哪些？
工作站受此漏洞的威胁最大。 如果管理员允许用户登录服务器并运行程序，服务器可能面临更大风险。 不过，最佳做法是不要授予这样的权限。

是否可以通过 Internet 利用此漏洞？
否。 攻击者必须能够登录到作为攻击目标的特定系统。 攻击者无法利用此漏洞远程加载和运行程序。

此更新有什么作用？
此更新通过修改在将数据传递到分配的缓冲区之前验证应用程序窗口大小的方式来消除此漏洞

发布此安全公告时，此漏洞是否已公开披露？
在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开披露的信息。

在发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

Microsoft 已测试以下变通办法。 尽管这些变通办法不能从根本上消除此漏洞，但它们有助于阻止已知的攻击媒介。 如果某种变通办法导致功能下降，下一节中将进行说明。

此漏洞的影响范围有多大？
这是一个远程执行代码漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全权限的新帐户。 帐户配置系统权限较少的用户比具有管理权限的用户受到的威胁要小。

什么是动态光标？
动态光标是一种允许一系列帧显示在鼠标指针位置（而不是单个图像）的功能。 动态光标功能的指定后缀为 .ani。

如果我阻止了扩展名为 .ani 的文件，这是否可以保护我不受到此漏洞的威胁？ 
否。 该漏洞并不受 .ani 文件扩展名的约束。 其他图像文件类型可能用于利用该漏洞。

造成漏洞的原因是什么？
Windows 处理光标、动态光标和图标之前执行格式验证的方式中存在一个漏洞。

攻击者可能利用此漏洞执行什么操作？
成功利用此漏洞的攻击者可以完全控制受影响的系统。

攻击者能够如何利用此漏洞？  
攻击者可能通过创建特制的网页来利用该漏洞。 攻击者还可以创建特制的电子邮件消息并将它发送至受影响的系统。 当查看网页时，预览或阅读特制的邮件或者打开特制的电子邮件附件，攻击者可能导致受影响的系统执行代码。 虽然动态光标通常与 .ani 文件扩展名相关联，但是成功的攻击并不受此文件类型的限制。

受此漏洞威胁最大的系统有哪些？  
工作站和终端服务器受到的威胁最大。 当没有足够管理权限的用户被授予登录到服务器并运行程序或浏览 Internet 的权限时，服务器会更有危险。 不过，最佳做法强烈反对授予这样的权限。

此更新有什么作用？
此更新通过修改使用光标、动态光标和图标格式之前对其进行验证的方式来消除漏洞。

发布此安全公告时，此漏洞是否已公开披露？
是。 此漏洞已公开披露。 已为此漏洞分配常见漏洞和披露号码 CVE-2007-0038。

在发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？
是。 在发布此安全公告时，Microsoft 已收到有关此漏洞已被利用的信息。

Microsoft 如何看待动态光标漏洞的第三方修补程序的可用性？
Microsoft 建议客户下载并部署与本公告关联的安全更新。

总的来说，最佳做法是获取软件原始供应商针对软件漏洞提供的安全更新。 对于 Microsoft 软件，Microsoft 仔细检查和测试了安全更新以确保提供高质量的安全更新，并对这些更新的应用程序兼容性进行了彻底评估。 此外，Microsoft 将针对软件的所有受影响版本以 23 种语言同时发布安全更新。

Microsoft 无法对独立的第三方安全修补程序或缓解作出类似的保证。

应用此安全更新是否有助于防止客户运行已公开发布的试图利用此漏洞的代码？
是。 此安全更新可消除当前正被利用的漏洞。 已为解决的漏洞分配了常见漏洞和披露号码 CVE-2007-0038。

攻击者必须拥有有效的登录凭据并能本地登录才能利用此漏洞。 匿名用户无法利用此漏洞，也无法以远程方式利用此漏洞

我们并未发现此漏洞的任何变通办法。

此漏洞的影响范围有多大？
这是一个本地特权提升漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 具有有效登录凭据的攻击者随后可安装程序；查看、更改或删除数据；或者创建权限与已登录用户相同的新帐户。

造成漏洞的原因是什么？
当基于 Windows 的程序呈现受影响的图像类型时，该程序会将颜色相关参数传递到 GDI 中未经检查的内存缓冲区。

什么是图形设备接口 (GDI)？
Microsoft Windows 图形设备接口 (GDI) 允许应用程序在视频显示和打印机上使用图形和格式化文本。 基于 Windows 的应用程序不直接访问图形硬件。 而是 GDI 代表应用程序与设备驱动程序进行交互。 有关 GDI 的详细信息，请访问下列 MSDN 文章。

攻击者可能利用此漏洞执行什么操作？
成功利用此漏洞的攻击者可以完全控制受影响的系统。

攻击者如何利用此漏洞？
任何渲染受影响的图像类型的程序都可能受到此攻击。 攻击者可以在本地登录系统，然后运行可以利用此漏洞的特制程序。

受此漏洞威胁最大的系统有哪些？
工作站和终端服务器受到的威胁最大。 如果管理员允许用户登录服务器并运行程序或浏览网页，服务器可能面临更大风险。 不过，最佳做法是不要授予这样的权限。

此更新有什么作用？
此更新通过修改图形设备接口在将数据传递到分配的缓冲区之前验证数据长度的方式来消除此漏洞。

发布此安全公告时，此漏洞是否已公开披露？
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

利用此漏洞的尝试最有可能导致拒绝服务情况，该情况是由受影响的系统意外重新启动造成的，而不是由本地特权提升造成的。

我们并未发现此漏洞的任何变通办法。

此漏洞的影响范围有多大？ 
这是一个本地特权提升漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 具有有效登录凭据的攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

造成漏洞的原因是什么？ 
当处理损坏的或经过修改的字体时，TrueType 字体光栅器可能调用未初始化的函数指针。

什么是 TrueType 字体光栅器？ 
TrueType 字体光栅器为屏幕和打印机生成字符位图，又称为光栅设备。

攻击者可能利用此漏洞执行什么操作？ 
成功利用此漏洞的攻击者可以完全控制受影响的系统。

哪些人可能会利用此漏洞？ 
要尝试利用此漏洞，攻击者必须能够以本地方式登录到系统并运行程序。

攻击者如何利用此漏洞？ 
攻击者可能创建使用特制字体的应用程序，当 True Type 字体光栅器尝试呈现该特制字体时，光栅器将会允许攻击者完全控制受影响的系统。

受此漏洞威胁最大的系统有哪些？ 
工作站和终端服务器受到的威胁最大。 如果管理员允许用户登录服务器并运行程序，服务器可能面临更大风险。 不过，最佳做法是不要授予这样的权限。

此更新有什么作用？ 
此更新通过更改 TrueType 字体光栅器初始化 True Type 字体的方式来消除此漏洞。

发布此安全公告时，此漏洞是否已公开披露？ 
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。