Bulletin zabezpečení společnosti Microsoft MS07-028

V případě útoku z webu by útočník musel být hostitelem webu s webovou stránkou, pomocí které lze tuto chybu zabezpečení zneužít. Útočník nemůže žádným způsobem přinutit uživatele k návštěvě speciálně vytvořené webové stránky. Musel by je přesvědčit, aby navštívili konkrétní web. K tomu se obvykle používá odkaz, na který uživatel klepne, a přejde tak na útočníkův web. Po klepnutí na takový odkaz by byl uživatel vyzván k provedení několika akcí. K útoku by mohlo dojít až po provedení těchto akcí.

Útočník, který by úspěšně zneužil tuto chybu zabezpečení, by mohl získat stejná uživatelská práva, jako má místní uživatel. Uživatelé, jejichž účty jsou konfigurovány tak, aby měli v systému méně uživatelských práv, by byli vystaveni menšímu riziku než uživatelé s uživatelskými právy správce.

Ve výchozím nastavení otevírají všechny podporované verze aplikací Microsoft Outlook a Microsoft Outlook Express e-mailové zprávy ve formátu HTML v zóně Servery s omezeným přístupem. Zóna s omezeným přístupem snižuje množství úspěšných útoků, které zneužívají tuto chybu zabezpečení, a to tak, že zabrání používání aktivního skriptování a ovládacích prvků ActiveX při čtení e-mailů ve formátu HTML. Pokud však uživatel klepne na odkaz v e-mailu, může být touto chybou zabezpečení stále ohrožen prostřednictvím útoku založeného na webu.

Aplikace Internet Explorer je v systému Windows Server 2003 ve výchozím nastavení spouštěna v omezeném režimu, který je známý jako Rozšířené nastavení zabezpečení. Tento režim nastaví úroveň zabezpečení zóny Internet na hodnotu Vysoká. Tato skutečnost snižující závažnost rizika pro servery nebyla do seznamu zóny Důvěryhodné servery v aplikaci Internet Explorer přidána. Další informace o rozšířené konfiguraci zabezpečení aplikace Internet Explorer najdete v části Nejčastější dotazy k této chybě zabezpečení.

Ve výchozím nastavení není tento ovládací prvek součástí výchozího seznamu povolených ovládacích prvků ActiveX v aplikaci Internet Explorer 7. Pokusy o zneužití této chyby zabezpečení jsou ohroženi pouze zákazníci, kteří výslovně povolili tento ovládací prvek pomocí funkce ActiveX Opt-in. Pokud ovšem zákazník používal tento ovládací prvek ActiveX v předchozí verzi aplikace Internet Explorer, pak je tento ovládací prvek ActiveX povolen i v aplikaci Internet Explorer 7, a to dokonce i v případě, že zákazník jeho použití nepovolil výslovně pomocí funkce ActiveX Opt-in.

Zakázání postupů o vytváření instancí ovládacího prvku CAPICOM v aplikaci Internet Explorer

Nastavením dezaktivačního bitu pro ovládací prvek v registru je možné zakázat pokusy o vytváření instancí tohoto ovládacího prvku ActiveX.

Varování: Použijete-li Editor registru nesprávně, může dojít k vážným problémům, které mohou vyžadovat přeinstalaci operačního systému. Společnost Microsoft nemůže zaručit, že problémy vzniklé v důsledku nesprávného použití programu Editor registru budete moci vyřešit. Editor registru používáte na vlastní nebezpečí.

Podrobné informace o postupu, který můžete použít k zamezení spuštění ovládacího prvku v aplikaci Internet Explorer, získáte v článku 240797 znalostní báze Microsoft Knowledge Base. Podle těchto kroků vytvořte v registru hodnotu Compatibility Flags, která zabrání vytváření instancí objektu COM v aplikaci Internet Explorer.

Pokud chcete nastavit dezaktivační bit pro identifikátory CLSID s hodnotou:

Vložte následující text do textového editoru, například do programu Poznámkový blok. Potom soubor uložte s příponou REG.

Editor registru systému Windows verze 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{17E3A1C3-EA8A-4970-AF29-7F54610B1D4C}]

"Compatibility Flags"=dword:00000400

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{FBAB033B-CDD0-4C5E-81AB-AEA575CD1338}]

"Compatibility Flags"=dword:00000400

Tento soubor s příponou REG pak můžete použít v jednotlivých systémech tak, že na něj poklepete. Soubor je možné použít také v rámci domény použitím Zásad skupiny. Další informace o zásadách skupiny najdete na následujících webech společnosti Microsoft:

Sada zásad skupiny

Co je Editor objektu zásad skupiny?

Nástroje a nastavení hlavních zásad skupiny

Poznámka: Je třeba restartovat aplikaci Internet Explorer, aby se projevily provedené změny.

Dopad tohoto zástupného řešení: Je možné, že ovládací prvek CAPICOM se nebude zobrazovat či fungovat správně.

Doporučujeme nakonfigurovat aplikaci Internet Explorer tak, aby se před spouštěním ovládacích prvků ActiveX zobrazoval dotaz, nebo zakázat ovládací prvky ActiveX v zóně zabezpečení Internet a Místní intranet.

Ochranu proti této chybě zabezpečení můžete zajistit změnou nastavení aplikace Internet Explorer tak, aby se před spuštěním ovládacích prvků ActiveX zobrazila výzva. Postupujte podle následujících kroků:

Dopad tohoto zástupného řešení: Zapnutí dotazování před spuštěním ovládacích prvků ActiveX má vedlejší efekty. Mnoho doplňkových funkcí webových stránek na Internetu i intranetu používá prvky ActiveX. Například stránky věnující se elektronickému obchodování online nebo bankovnictví mohou používat ovládací prvky ActiveX pro zobrazování nabídek, objednávkových formulářů nebo i k správě účtů. Dotazování před spuštěním ovládacích prvků ActiveX je nastaveno globálně, a tak bude mít vliv na všechny internetové i intranetové stránky. Pokud použijete toto zástupné řešení, budete často dotazováni. Jestliže se domníváte, že stránky, na kterých se nacházíte, jsou důvěryhodné, klepněte v zobrazeném dotazu na tlačítko Ano. Povolíte tím spuštění ovládacích prvků ActiveX. Pokud nechcete být při návštěvě všech těchto webů dotazováni, použijte kroky uvedené v části Přidání webů, které považujete za důvěryhodné, do seznamu zóny Důvěryhodné servery v aplikaci Internet Explorer.

Přidání webů, které považujete za důvěryhodné, do seznamu zóny Důvěryhodné servery v aplikaci Internet Explorer

Po nastavení aplikace Internet Explorer tak, aby se dotazovala před spuštěním ovládacích prvků ActiveX a aktivním skriptováním v zóně zabezpečení Internet a Místní intranet, můžete do zóny Důvěryhodné servery v aplikaci Internet Explorer přidat weby, které považujete za důvěryhodné. Budete tak moci i nadále používat weby, kterým důvěřujete, a navíc se tím budete chránit před útoky, které vám hrozí na webech, kterým nedůvěřujete. Doporučujeme do seznamu důvěryhodných webů přidávat pouze ty weby, které považujete za důvěryhodné.

Postupujte podle následujících kroků:

Poznámka: Přidejte všechny servery, kterým důvěřujete, že neprovedou žádný útok na váš počítač. Konkrétně by bylo vhodné přidat servery *.windowsupdate.microsoft.com a *.update.microsoft.com. Na těchto serverech se nacházejí aktualizace, jejichž instalace vyžaduje použití ovládacích prvků ActiveX.

Nastavení zóny zabezpečení Internet a Místní intranet na úroveň Vysoká, aby se zobrazoval dotaz před spouštěním ovládacích prvků ActiveX a aktivním skriptováním v těchto zónách

Proti těmto chybám zabezpečení se můžete chránit tím, že změníte nastavení v zóně zabezpečení Internet tak, aby se před spuštěním ovládacích prvků ActiveX zobrazil dotaz. To můžete provést nastavením zabezpečení prohlížeče na úroveň Vysoká.

Postup pro zvýšení úrovně zabezpečení v aplikaci Microsoft Internet Explorer:

Poznámka: Jestliže není ve skupinovém rámečku jezdec zobrazen, klepněte na tlačítko Výchozí úroveň a potom jezdec přesuňte do polohy Vysoká.

Poznámka: Nastavení zabezpečení na úroveň Vysoká může způsobit, že některé weby nebudou správně fungovat. Pokud po změně tohoto nastavení zaznamenáte problémy s používáním konkrétního webu a máte jistotu, že je používání tohoto webu bezpečné, můžete tento web přidat do seznamu důvěryhodných webů. Díky tomu budete moci s daným webem pracovat bez problémů, přestože bude úroveň zabezpečení nastavena na hodnotu Vysoká.

Dopad tohoto zástupného řešení: Zapnutí dotazování před spuštěním ovládacích prvků ActiveX má vedlejší efekty. Mnoho doplňkových funkcí webových stránek na Internetu i intranetu používá prvky ActiveX. Například stránky věnující se elektronickému obchodování online nebo bankovnictví mohou používat ovládací prvky ActiveX pro zobrazování nabídek, objednávkových formulářů nebo i k správě účtů. Dotazování před spuštěním ovládacích prvků ActiveX je nastaveno globálně, a tak bude mít vliv na všechny internetové i intranetové stránky. Pokud použijete toto zástupné řešení, budete často dotazováni. Jestliže se domníváte, že stránky, na kterých se nacházíte, jsou důvěryhodné, klepněte v zobrazeném dotazu na tlačítko Ano. Povolíte tím spuštění ovládacích prvků ActiveX. Pokud nechcete být při návštěvě všech těchto webů dotazováni, použijte kroky uvedené v části Přidání webů, které považujete za důvěryhodné, do seznamu zóny Důvěryhodné servery v aplikaci Internet Explorer.

Přidání webů, které považujete za důvěryhodné, do seznamu zóny Důvěryhodné servery v aplikaci Internet Explorer

Po nastavení aplikace Internet Explorer tak, aby se dotazovala před spuštěním ovládacích prvků ActiveX a aktivním skriptováním v zóně zabezpečení Internet a Místní intranet, můžete do zóny Důvěryhodné servery v aplikaci Internet Explorer přidat weby, které považujete za důvěryhodné. Budete tak moci i nadále používat weby, kterým důvěřujete, a navíc se tím budete chránit před útoky, které vám hrozí na webech, kterým nedůvěřujete. Doporučujeme do seznamu důvěryhodných webů přidávat pouze ty weby, které považujete za důvěryhodné.

Postupujte podle následujících kroků:

Poznámka: Přidejte všechny servery, kterým důvěřujete, že neprovedou žádný útok na váš počítač. Konkrétně by bylo vhodné přidat servery *.windowsupdate.microsoft.com a *.update.microsoft.com. Na těchto serverech se nacházejí aktualizace, jejichž instalace vyžaduje použití ovládacích prvků ActiveX.

Úroveň zabezpečení zóny Internet je nastavena na hodnotu Vysoká. Toto nastavení zakáže používání skriptů, součástí ovládacích prvků ActiveX, modulu Microsoft VM, obsahu ve formátu HTML a stahování souborů.

Je vypnuto automatické rozpoznávání intranetových webů. S tímto nastavením budou všechny weby na místním intranetu a všechny cesty používající názvy UNC (Universal Naming Convention), které nejsou výslovně uvedeny v zóně Místní intranet, považovány ze součást zóny Internet.

Jsou zakázány instalace na požádání a rozšíření prohlížeče, která nejsou od společnosti Microsoft. Toto nastavení zabrání webovým stránkám v automatické instalaci součástí a zakáže spuštění rozšíření, která nejsou od společnosti Microsoft.

Je zakázán multimediální obsah. Toto nastavení zabrání spouštění hudby, animací a videoklipů.