Security bulletiny

Bulletin zabezpečení společnosti Microsoft MS07-051 – kritický

Chyba zabezpečení v technologii Microsoft Agent umožňuje vzdálené spuštění kódu (938827)

Publikováno: 11. září 2007 | Aktualizováno: 12. září 2007

Verze 1.1

Obecné informace

Shrnutí

Tato kritická aktualizace zabezpečení řeší chybu zabezpečení oznámenou soukromou osobou. V technologii Microsoft Agent existuje chyba zabezpečení, která umožňuje vzdálené spuštění kódu. Důvodem je způsob zpracování některých adres URL. Tato chyba zabezpečení může útočníkovi umožnit vzdálené spuštění kódu v ohroženém systému. Uživatelé, jejichž účty jsou konfigurovány tak, aby měli v systému méně uživatelských práv, by byli vystaveni menšímu riziku než uživatelé s uživatelskými právy správce.

Jedná se o kritickou aktualizaci zabezpečení pro systém Microsoft Windows 2000 Service Pack 4. Další informace získáte v podčásti Software obsahující tuto chybu a software neobsahující tuto chybu tohoto oddílu.

Tato aktualizace zabezpečení řeší uvedenou chybu zabezpečení změnou způsobu, jakým program Microsoft Agent zpracovává speciálně vytvořené adresy URL. Další informace o této chybě zabezpečení získáte v podčásti Nejčastější dotazy pro položku chyby v části Informace o chybách zabezpečení.

Doporučení: Společnost Microsoft zákazníkům doporučuje okamžitou instalaci aktualizace.

Známé problémy. Žádný

Na začátek sekceNa začátek sekce

Software obsahující tuto chybu a software neobsahující tuto chybu

Software uvedený v tomto seznamu byl testován za účelem určení, které verze nebo edice jsou touto chybou postiženy. U dalších verzí nebo edicí buď již skončila časově omezená podpora, nebo nejsou touto chybou postiženy. Pokud chcete zjistit dobu, po kterou je pro určitou verzi nebo edici softwaru poskytována podpora, navštivte web Zásady poskytování technické podpory pro produkty společnosti Microsoft.

Software obsahující tuto chybu

Operační systémMaximální dopad na zabezpečeníCelkový stupeň závažnostiBulletiny nahrazené touto aktualizací

Microsoft Windows 2000 Service Pack 4

Vzdálené spuštění kódu

Kritický

MS07-020

Software neobsahující tuto chybu:

Operační systém

Windows XP Service Pack 2

Windows XP Professional x64 Edition a Windows XP Professional x64 Edition Service Pack 2

Windows Server 2003 Service Pack 1 a Windows Server 2003 Service Pack 2

Windows Server 2003 x64 Edition a Windows Server 2003 x64 Edition Service Pack 2

Windows Server 2003 SP1 pro systémy s procesorem Itanium a Windows Server 2003 SP2 pro systémy s procesorem Itanium

Windows Vista

Windows Vista x64 Edition

Na začátek sekceNa začátek sekce

Nejčastější dotazy související s touto aktualizací zabezpečení

Používám binární verzi aktualizovanou tímto vydáním, ale můj software je uveden v části softwaru neobsahujícího tuto chybu. Jak je možné, že uvedený software neobsahující tuto chybu není postižený stejnou základní chybou?
Ačkoli se soubor agentdpv.dll, verze 2.0.0.3426, distribuuje také s vydáními softwaru uvedenými v části Software neobsahující tuto chybu, nejsou tyto platformy postiženy, protože obsahují specifická vylepšení zabezpečení. Standardní zdroje zjišťování a nasazení společnosti Microsoft uvedené v části Aktualizace zabezpečení bulletinu identifikují a distribuují tuto aktualizaci pouze do operačních systémů Windows 2000.

Používám starší vydání softwaru uvedeného v tomto bulletinu zabezpečení. Jak mám postupovat?  
Software uvedený v tomto bulletinu byl testován za účelem zjištění, kterých verzí se chyba týká. U ostatních vydání již skončila časově omezená podpora. Pokud chcete zjistit dobu, po kterou je pro určité vydání softwaru poskytována podpora, navštivte web Zásady poskytování technické podpory pro produkty společnosti Microsoft.

Zákazníkům používajícím starší vydání softwaru doporučujeme přejít na podporovaná vydání, aby jejich počítače byly před možnými chybami zabezpečení lépe chráněny. Další informace o časově omezené podpoře produktů Windows získáte na webu Zásady poskytování technické podpory pro produkty společnosti Microsoft. Další informace o prodloužené fázi podpory ve formě aktualizací zabezpečení pro tato vydání softwaru získáte na webu služby technické podpory společnosti Microsoft.

Zákazníci, kteří požadují technickou podporu pro starší software, se musí obrátit na svého zástupce společnosti Microsoft, technického manažera (TAM) nebo na příslušného prodejce produktů společnosti Microsoft s požadavkem na vlastní možnosti technické podpory. Zákazníci bez smlouvy typu Alliance, Premier či Authorized se mohou obrátit na místní zastoupení společnosti Microsoft. Chcete-li získat kontaktní informace, přejděte na web Microsoft Worldwide a vyberte požadovanou zemi. Seznam telefonních čísel pak zobrazíte klepnutím na tlačítko Go (Přejít). Po zavolání na příslušné číslo si vyžádejte místního manažera pro program Premier Support. Další informace získáte na webu Technická podpora pro operační systém Windows – nejčastější dotazy.

Na začátek sekceNa začátek sekce

Informace o chybách zabezpečení

Stupeň závažnosti a identifikátory chyb zabezpečení

Software obsahující tuto chybuChyba zabezpečení programu Agent umožňující vzdálené spuštění kódu – CVE-2007-3040Celkový stupeň závažnosti

Microsoft Windows 2000 Service Pack 4

Kritický

Vzdálené spuštění kódu

Kritický

Na začátek sekceNa začátek sekce

Chyba zabezpečení programu Agent umožňující vzdálené spuštění kódu – CVE-2007-3040

V technologii Microsoft Agent existuje chyba zabezpečení, která umožňuje vzdálené spuštění kódu. Důvodem je způsob zpracování některých adres URL. Tato chyba zabezpečení může útočníkovi umožnit vzdálené spuštění kódu v ohroženém systému. Uživatelé, jejichž účty jsou konfigurovány tak, aby měli v systému méně uživatelských práv, by byli vystaveni menšímu riziku než uživatelé s uživatelskými právy správce.

Tuto chybu zabezpečení lze zobrazit jako standardní položku v seznamu známých chyb zabezpečení a ohrožení pod číslem CVE-2007-3040.

Skutečnosti snižující závažnost rizika spojeného s chybou zabezpečení programu Agent umožňující vzdálené spuštění kódu – CVE-2007-3040

Snížení rizika se týká nastavení, běžné konfigurace nebo obecného osvědčeného postupu existujícího ve výchozím stavu, který by mohl snížit závažnost zneužití chyby zabezpečení. V dané situaci mohou být užitečné následující faktory snížení rizika:

•

V případě útoku z webu by útočník musel být hostitelem webu s webovou stránkou, pomocí které lze tuto chybu zabezpečení zneužít. Navíc, dané weby a weby, které přijímají nebo hostují materiál poskytovaný uživateli a reklamu, by mohly obsahovat speciálně vytvořený obsah zneužívající tuto chybu zabezpečení. Útočník však nemůže žádným způsobem přinutit uživatele k návštěvě škodlivého webu. Musel by je přesvědčit, aby navštívili konkrétní web. K tomu se obvykle používá odkaz, na který uživatel klepne a přejde tak na útočníkův web.

•

Útočník, který by úspěšně zneužil tuto chybu zabezpečení, by mohl získat stejná uživatelská práva, jako má místní uživatel. Uživatelé, jejichž účty jsou konfigurovány tak, aby měli v systému méně uživatelských práv, by byli vystaveni menšímu riziku než uživatelé s uživatelskými právy správce.

•

Zóna s omezeným přístupem pomáhá snížit množství útoků, které by se mohly tuto chybu zabezpečení pokusit zneužít, a to tak, že zabrání používání ovládacích prvků ActiveX při čtení e-mailů ve formátu HTML. Pokud však uživatel klepne na odkaz v e-mailu, může být touto chybou zabezpečení stále ohrožen prostřednictvím útoku z webu.

•

Ve výchozím nastavení otevírají všechny podporované verze aplikací Microsoft Outlook a Microsoft Outlook Express e-mailové zprávy ve formátu HTML v zóně Servery s omezeným přístupem. Zóna s omezeným přístupem snižuje množství útoků, které by se mohly pokusit zneužít tuto chybu zabezpečení, a to tak, že zabrání používání aktivního skriptování a ovládacích prvků ActiveX při čtení e-mailů ve formátu HTML. Pokud však uživatel klepne na odkaz v e-mailu, může být touto chybou zabezpečení stále ohrožen prostřednictvím útoku založeného na webu.

Na začátek sekceNa začátek sekce

Možná zástupná řešení chyby zabezpečení programu Agent umožňující vzdálené spuštění kódu – CVE-2007-3040

Alternativní řešení se týká nastavení nebo změny konfigurace, která nevyřeší základní problém, ale pomůže před použitím aktualizace zablokovat známé útoky. Společnost Microsoft testovala následující alternativní řešení a v popisu uvádí, zda dané řešení omezuje funkčnost:

•

Dočasný zákaz spouštění ovládacího prvku ActiveX programu Agent v aplikaci Internet Explorer

Nastavením dezaktivačního bitu pro ovládací prvek ActiveX v registru je možné zvýšit ochranu proti pokusům o vytváření instancí tohoto ovládacího prvku ActiveX v aplikaci Internet Explorer.

Varování: Použijete-li Editor registru nesprávně, může dojít k vážným problémům, které mohou vyžadovat přeinstalaci operačního systému. Společnost Microsoft nemůže zaručit, že problémy vzniklé v důsledku nesprávného použití programu Editor registru budete moci vyřešit. Editor registru používáte na vlastní nebezpečí.

Podrobné informace o postupu, který můžete použít k zamezení spuštění ovládacího prvku v aplikaci Internet Explorer, získáte v článku 240797 znalostní báze Microsoft Knowledge Base. Podle těchto kroků vytvořte v registru hodnotu Compatibility Flags, která zabrání vytváření instancí objektu COM v aplikaci Internet Explorer.

Chcete-li nastavit dezaktivační bit pro identifikátor CLSID s hodnotou {D45FD31B-5C6E-11D1-9EC1-00C04FD7081F}, vložte následující text do textového editoru, například do programu Poznámkový blok. Potom soubor uložte s příponou REG.

Editor registru systému Windows verze 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{D45FD31B-5C6E-11D1-9EC1-00C04FD7081F}]

"Compatibility Flags"=dword:00000400

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F5BE8BD2-7DE6-11D0-91FE-00C04FD701A5}]

"Compatibility Flags"=dword:00000400

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{4BAC124B-78C8-11D1-B9A8-00C04FD97575}]

"Compatibility Flags"=dword:00000400

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{D45FD31D-5C6E-11D1-9EC1-00C04FD7081F}]

"Compatibility Flags"=dword:00000400

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{D45FD31E-5C6E-11D1-9EC1-00C04FD7081F}]

"Compatibility Flags"=dword:00000400

Tento soubor s příponou REG pak můžete použít v jednotlivých systémech tak, že na něj poklepete. Soubor je možné použít také v rámci domény použitím Zásad skupiny. Další informace o zásadách skupiny najdete na následujících webech společnosti Microsoft:

•

Sada zásad skupiny

•

Co je Editor objektu zásad skupiny?

•

Nástroje a nastavení hlavních zásad skupiny

Poznámka: Je třeba restartovat aplikaci Internet Explorer, aby se projevily provedené změny.

Dopad zástupného řešení: Weby, které využívají ovládací prvek ActiveX programu Microsoft Agent ActiveX, nebudou v aplikaci Internet Explorer pracovat správně.

•

Zrušení registrace souboru AgentSvr.exe

Na příkazovém řádku nebo do přihlašovacího či spouštěcího skriptu zadejte následující text:

%windir%\msagent\agentsvr.exe /unregserver

Dopad zástupného řešení: Program Microsoft Agent už nebude funkční.

•

Doporučujeme nakonfigurovat aplikaci Internet Explorer tak, aby se před spouštěním ovládacích prvků ActiveX zobrazoval dotaz, nebo zakázat ovládací prvky ActiveX v zóně zabezpečení Internet a Místní intranet.

Ochranu proti této chybě zabezpečení můžete zajistit změnou nastavení aplikace Internet Explorer tak, aby se před spuštěním ovládacích prvků ActiveX zobrazila výzva. Postupujte podle následujících kroků:

1.

V aplikaci Internet Explorer klepněte v nabídce Nástroje na příkaz Možnosti Internetu.

2.

Klepněte na kartu Zabezpečení.

3.

Klepněte na položku Internet a pak na tlačítko Vlastní úroveň.

4.

V okně Nastavení klepněte v části Ovládací prvky ActiveX a moduly plug-in u položky Spouštět ovládací prvky ActiveX a moduly plug-in na přepínač Dotázat se nebo Zakázat a potom klepněte na tlačítko OK.

5.

Klepněte na položku Místní intranet a pak na tlačítko Vlastní úroveň.

6.

V okně Nastavení klepněte v části Ovládací prvky ActiveX a moduly plug-in u položky Spouštět ovládací prvky ActiveX a moduly plug-in na přepínač Dotázat se nebo Zakázat a potom klepněte na tlačítko OK.

7.

Klepnutím dvakrát na tlačítko OK se vraťte do aplikace Internet Explorer.

Dopad tohoto zástupného řešení: Zapnutí dotazování před spuštěním ovládacích prvků ActiveX má vedlejší efekty. Mnoho doplňkových funkcí webových stránek na Internetu i intranetu používá prvky ActiveX. Například stránky věnující se elektronickému obchodování online nebo bankovnictví mohou používat ovládací prvky ActiveX pro zobrazování nabídek, objednávkových formulářů nebo i k správě účtů. Dotazování před spuštěním ovládacích prvků ActiveX je nastaveno globálně, a tak bude mít vliv na všechny internetové i intranetové stránky. Pokud použijete toto zástupné řešení, budete často dotazováni. Jestliže se domníváte, že stránky, na kterých se nacházíte, jsou důvěryhodné, klepněte v zobrazeném dotazu na tlačítko Ano. Povolíte tím spuštění ovládacích prvků ActiveX. Pokud nechcete být při návštěvě všech těchto webů dotazováni, použijte kroky uvedené v části Přidání webů, které považujete za důvěryhodné, do seznamu zóny Důvěryhodné servery v aplikaci Internet Explorer.

Přidání webů, které považujete za důvěryhodné, do seznamu zóny Důvěryhodné servery v aplikaci Internet Explorer

Po nastavení aplikace Internet Explorer tak, aby se dotazovala před spuštěním ovládacích prvků ActiveX a aktivním skriptováním v zóně zabezpečení Internet a Místní intranet, můžete do zóny Důvěryhodné servery v aplikaci Internet Explorer přidat weby, které považujete za důvěryhodné. Budete tak moci i nadále používat weby, kterým důvěřujete, a navíc se tím budete chránit před útoky, které vám hrozí na webech, kterým nedůvěřujete. Doporučujeme do seznamu důvěryhodných webů přidávat pouze ty weby, které považujete za důvěryhodné.

Postupujte podle následujících kroků:

1.

V nabídce Nástroje aplikace Internet Explorer klepněte na příkaz Možnosti Internetu a pak na kartu Zabezpečení.

2.

V seznamu Vyberte zónu obsahu, u které chcete určit nastavení zabezpečení klepněte na položku Důvěryhodné servery a pak klepněte na tlačítko Servery.

3.

Pokud chcete přidat servery, které nevyžadují šifrovaný kanál, zrušte zaškrtnutí políčka Vyžadovat ověření všech serverů v této zóně serverem (https:).

4.

Do pole Přidat tento webový server do následující zóny zadejte adresu URL důvěryhodného serveru a pak klepněte na tlačítko Přidat.

5.

Opakujte výše uvedené kroky pro každý server, který chcete do zóny přidat.

6.

Klepnutím dvakrát na tlačítko OK přijmete změny a vrátíte se do aplikace Internet Explorer.

Poznámka: Přidejte všechny servery, kterým důvěřujete, že neprovedou žádný útok na váš počítač. Chcete-li i nadále dostávat aktualizace zabezpečení od společnosti Microsoft, přidejte položky *.windowsupdate.microsoft.com a *.update.microsoft.com. Jde o servery hostující aktualizace. K instalaci aktualizace potřebujete ovládací prvek ActiveX.

•

Nastavení zóny zabezpečení Internet a Místní intranet na úroveň Vysoká, aby se zobrazoval dotaz před spouštěním ovládacích prvků ActiveX a aktivním skriptováním v těchto zónách

Proti těmto chybám zabezpečení se můžete chránit tím, že změníte nastavení v zóně zabezpečení Internet tak, aby se před spuštěním ovládacích prvků ActiveX zobrazil dotaz. To můžete provést nastavením zabezpečení prohlížeče na úroveň Vysoká.

Postup pro zvýšení úrovně zabezpečení v aplikaci Microsoft Internet Explorer:

1.

V aplikaci Internet Explorer klepněte v nabídce Nástroje na příkaz Možnosti Internetu.

2.

V dialogovém okně Možnosti Internetu klepněte na kartu Zabezpečení a klepněte na ikonu Internet.

3.

Ve skupinovém rámečku Úroveň zabezpečení této zóny přesuňte jezdec do polohy Vysoká. Tím nastavíte úroveň zabezpečení pro všechny servery, které navštívíte, na úroveň Vysoká.

Poznámka: Jestliže není ve skupinovém rámečku jezdec zobrazen, klepněte na tlačítko Výchozí úroveň a potom jezdec přesuňte do polohy Vysoká.

Poznámka: Nastavení zabezpečení na úroveň Vysoká může způsobit, že některé weby nebudou správně fungovat. Pokud po změně tohoto nastavení zaznamenáte problémy s používáním konkrétního webu a máte jistotu, že je používání tohoto webu bezpečné, můžete tento web přidat do seznamu důvěryhodných webů. Díky tomu budete moci s daným webem pracovat bez problémů, přestože bude úroveň zabezpečení nastavena na hodnotu Vysoká.

Dopad tohoto zástupného řešení: Zapnutí dotazování před spuštěním ovládacích prvků ActiveX má vedlejší efekty. Mnoho doplňkových funkcí webových stránek na Internetu i intranetu používá prvky ActiveX. Například stránky věnující se elektronickému obchodování online nebo bankovnictví mohou používat ovládací prvky ActiveX pro zobrazování nabídek, objednávkových formulářů nebo i k správě účtů. Dotazování před spuštěním ovládacích prvků ActiveX je nastaveno globálně, a tak bude mít vliv na všechny internetové i intranetové stránky. Pokud použijete toto zástupné řešení, budete často dotazováni. Jestliže se domníváte, že stránky, na kterých se nacházíte, jsou důvěryhodné, klepněte v zobrazeném dotazu na tlačítko Ano. Povolíte tím spuštění ovládacích prvků ActiveX. Pokud nechcete být při návštěvě všech těchto webů dotazováni, použijte kroky uvedené v části Přidání webů, které považujete za důvěryhodné, do seznamu zóny Důvěryhodné servery v aplikaci Internet Explorer.

Přidání webů, které považujete za důvěryhodné, do seznamu zóny Důvěryhodné servery v aplikaci Internet Explorer

Po nastavení aplikace Internet Explorer tak, aby se dotazovala před spuštěním ovládacích prvků ActiveX a aktivním skriptováním v zóně zabezpečení Internet a Místní intranet, můžete do zóny Důvěryhodné servery v aplikaci Internet Explorer přidat weby, které považujete za důvěryhodné. Budete tak moci i nadále používat weby, kterým důvěřujete, a navíc se tím budete chránit před útoky, které vám hrozí na webech, kterým nedůvěřujete. Doporučujeme do seznamu důvěryhodných webů přidávat pouze ty weby, které považujete za důvěryhodné.

Postupujte podle následujících kroků:

1.

V nabídce Nástroje aplikace Internet Explorer klepněte na příkaz Možnosti Internetu a pak na kartu Zabezpečení.

2.

V seznamu Vyberte zónu obsahu, u které chcete určit nastavení zabezpečení klepněte na položku Důvěryhodné servery a pak klepněte na tlačítko Servery.

3.

Pokud chcete přidat servery, které nevyžadují šifrovaný kanál, zrušte zaškrtnutí políčka Vyžadovat ověření všech serverů v této zóně serverem (https:).

4.

Do pole Přidat tento webový server do následující zóny zadejte adresu URL důvěryhodného serveru a pak klepněte na tlačítko Přidat.

5.

Opakujte výše uvedené kroky pro každý server, který chcete do zóny přidat.

6.

Klepnutím dvakrát na tlačítko OK přijmete změny a vrátíte se do aplikace Internet Explorer.

Poznámka: Přidejte všechny servery, kterým důvěřujete, že neprovedou žádný útok na váš počítač. Chcete-li i nadále dostávat aktualizace zabezpečení od společnosti Microsoft, přidejte položky *.windowsupdate.microsoft.com a *.update.microsoft.com. Jde o servery hostující aktualizace. K instalaci aktualizace potřebujete ovládací prvek ActiveX.

Na začátek sekceNa začátek sekce

Nejčastější dotazy týkající se chyby zabezpečení programu Agent umožňující vzdálené spuštění kódu – CVE-2007-3040

Jaký je rozsah této chyby zabezpečení? 
V technologii Microsoft Agent existuje chyba zabezpečení, která umožňuje vzdálené spuštění kódu. Důvodem je způsob zpracování některých adres URL. Útočník, který by tuto chybu zabezpečení zneužil, by mohl získat úplnou kontrolu nad postiženým systémem. Útočník by tak mohl instalovat programy, zobrazovat, měnit či odstraňovat data nebo vytvářet nové účty s úplnými uživatelskými právy.

Co tuto chybu zabezpečení způsobuje? 
Poskytnutí speciálně vytvořené adresy URL ovládacímu prvku ActiveX programu Microsoft Agent může způsobit poškození systémové paměti takovým způsobem, že by útočník mohl spustit libovolný kód.

Co je Microsoft Agent? 
Microsoft Agent je součást operačního systému Microsoft Windows využívající interaktivní animované postavičky, které poskytují nápovědu uživatelům a usnadňují používání počítače. Další informace najdete na webu technologie Microsoft Agent.

K čemu by mohl útočník tuto chybu zabezpečení zneužít? 
Útočník, který by tuto chybu zabezpečení zneužil, může získat úplnou kontrolu nad ohroženým systémem. Útočník by tak mohl instalovat programy, zobrazovat, měnit či odstraňovat data nebo vytvářet nové účty s úplnými uživatelskými právy. Uživatelé, jejichž účty jsou konfigurovány tak, aby měli v systému méně uživatelských práv, by byli vystaveni menšímu riziku než uživatelé s uživatelskými právy správce.

Kdo by mohl tuto chybu zabezpečení zneužít? 
V případě útoku z webu by útočník musel být hostitelem webu se stránkou, jejíž pomocí lze tuto chybu zabezpečení zneužít. Útočník nemůže žádným způsobem přinutit uživatele k návštěvě speciálně vytvořené webové stránky. Musel by je přesvědčit, aby navštívili konkrétní web. K tomu se obvykle používá odkaz, na který uživatel klepne, a přejde tak na útočníkův web.

Které systémy jsou touto chybou ohroženy nejvíce? 
Aby tato chyba zabezpečení mohla být zneužita, musí být uživatel přihlášen k počítači a musí navštívit nějaký web. Touto chybou jsou nejvíce ohroženy systémy, v nichž se často používá aplikace Internet Explorer, což jsou především pracovní stanice a terminálové servery.

Co je podstatou této aktualizace? 
Tato aktualizace odstraní uvedenou chybu zabezpečení změnou způsobu, jakým program Microsoft Agent zpracovává speciálně vytvořené adresy URL.

Byla v době zveřejnění tohoto bulletinu tato chyba zabezpečení veřejně známá? 
Ne. Společnost Microsoft byla o této chybě informována důvěryhodným zdrojem.

Měla v době zveřejnění tohoto bulletinu společnost Microsoft nějaké informace o tom, že tato chyba zabezpečení byla zneužita? 
Ne. Společnost Microsoft neměla žádné informace, které by naznačovaly, že daná chyba zabezpečení byla v době původního zveřejnění tohoto bulletinu zneužita k útoku na zákazníky, a nezaznamenala ani žádné důkazy nebo publikované příklady kódu, které by naznačovaly, že tato chyba byla zneužita.

Na začátek sekceNa začátek sekce
Na začátek sekceNa začátek sekce

Informace o aktualizaci

Nástroje a doporučené postupy zjišťování a nasazení

Umožňuje správu aktualizací softwaru a zabezpečení, které je třeba nainstalovat na servery, stolní počítače a přenosné počítače v organizaci. Další informace naleznete na webu TechNet Update Management Center. Další informace o zabezpečení produktů společnosti Microsoft nabízí web Microsoft TechNet Security.

Aktualizace zabezpečení jsou k dispozici na webu Microsoft Update, Windows Update a Office Update. Aktualizace zabezpečení jsou také k dispozici na webu služby Stažení softwaru. Nejsnadněji je naleznete hledáním podle klíčového slova oprava_zabezpečení (security_patch). Aktualizace zabezpečení lze mimo jiné stáhnout z katalogu služby Windows Update. Další informace o katalogu systému Windows Update získáte v článku 323166 znalostní báze Microsoft Knowledge Base.

Doporučené postupy zjišťování a instalace

Společnost Microsoft poskytla doporučené postupy zjišťování a instalace aktualizací zabezpečení vydaných tento měsíc. Tyto doporučené postupy by měly pomoci také odborníkům v oblasti IT při používání různých nástrojů při instalaci aktualizace zabezpečení, např. Windows Update, Microsoft Update, Office Update, nástroj MBSA (Microsoft Baseline Security Analyzer), nástroj pro rozpoznávání sady Office, Microsoft Systems Management Server (SMS), nástroj Extended Security Update Inventory Tool a nástroj pro vyhledávání aktualizací v rozlehlých sítích (Enterprise Update Scanning Tool – EST). Další informace získáte v článku 910723 znalostní báze Microsoft Knowledge Base.

Nástroj Microsoft Baseline Security Analyzer

Pomocí nástroje Microsoft Baseline Security Analyzer (MBSA) mohou správci prohledávat místní i vzdálené systémy a zjistit tak, jestli v nich nechybí některé aktualizace zabezpečení nebo jestli v nastavení zabezpečení systému nedošlo k některým běžným chybám. Další informace o nástroji MBSA získáte na webu Microsoft Baseline Security Analyzer. Následující tabulka uvádí shrnutí týkající se zjišťování pomocí nástroje MBSA pro tuto aktualizaci zabezpečení.

SoftwareMBSA 1.2.1MBSA 2.0.1

Microsoft Windows 2000 Service Pack 4

Ano

Ano

Další informace o nástroji MBSA získáte na webu nástroje MBSA. Další informace o softwaru, který služba Microsoft Update a nástroj MBSA 2.0 aktuálně nezjišťují, získáte v článku 895660 znalostní báze Microsoft Knowledge Base.

Služba Windows Server Update Services

Pomocí služby Windows Server Update Services (WSUS) mohou správci systémů instalovat nejnovější důležité aktualizace zabezpečení pro systémy Microsoft Windows 2000 a novější, sadu Office XP a novější, Exchange Server 2003 a SQL Server 2000 do systémů Microsoft Windows 2000 a novějších. Další informace o způsobu instalace této aktualizace zabezpečení pomocí služby Windows Server Update Services získáte na webu služby Windows Server Update Services.

Systems Management Server

Následující tabulka uvádí shrnutí týkající se zjišťování a instalace pomocí serveru SMS pro tuto aktualizaci zabezpečení.

SoftwareSMS 2.0SMS 2003

Microsoft Windows 2000 Service Pack 4

Ano

Ano

Server SMS 2.0 a sada SMS 2003 Software Update Services (SUS) Feature Pack mohou ke zjišťování používat nástroj MBSA 1.2.1, a proto se na ně vztahují omezení uvedená v předchozí části tohoto bulletinu týkající se programů, které není možné zjistit pomocí nástroje MBSA 1.2.1.

U serveru SMS 2.0 lze sadu SMS SUS Feature Pack obsahující nástroj SUIT (Security Update Inventory Tool) používat serverem SMS ke zjištění aktualizací zabezpečení. Sada SMS SUIT využívá k zjišťování modul MBSA 1.2.1. Další informace o protokolu SUIT naleznete na následujícím webu společnosti Microsoft. Další informace o omezeních nástroje SUIT získáte v článku 306460 znalostní báze Microsoft Knowledge Base. Sada SMS SUS Feature Pack obsahuje také nástroj Microsoft Office Inventory Tool umožňující rozpoznávání aplikací sady Microsoft Office.

U serveru SMS 2003 lze nástroj SMS 2003 ITMU (Inventory Tool for Microsoft Updates) používat serverem SMS ke zjištění aktualizací zabezpečení nabízených webem Microsoft Update a podporovaných službou Windows Server Update Services. Další informace o nástroji SMS 2003 ITMU naleznete na následujícím webu společnosti Microsoft. Server SMS 2003 může zjišťovat požadované aktualizace aplikací sady Microsoft Office také pomocí nástroje Microsoft Office Inventory Tool.

Další informace o nástroji SMS získáte na webu nástroje SMS.

Na začátek sekceNa začátek sekce

Instalace aktualizace zabezpečení

Software obsahující tuto chybu

Informace o konkrétní aktualizaci zabezpečení pro software obsahující tuto chybu získáte klepnutím na příslušný odkaz:

Microsoft Windows 2000 (všechna vydání)

Referenční tabulka

Následující tabulka obsahuje informace o aktualizaci zabezpečení pro tento software. Další informace můžete nalézt v podčásti Informace o instalaci tohoto oddílu.

Zahrnutí do budoucích aktualizací Service Pack

Aktualizace odstraňující tento problém bude pravděpodobně zahrnuta do budoucí kumulativní aktualizace.

Instalace

 

Instalace bez zásahu uživatele

Microsoft Windows 2000 Service Pack 4:

Windows2000-kb938827-x86-enu /quiet

Instalace bez nutnosti restartovat

Microsoft Windows 2000 Service Pack 4:

Windows2000-kb938827-Windows2000sp4-x86-enu /norestart

Aktualizace souboru protokolu

Microsoft Windows 2000 Service Pack 4:

KB938827.log

Další informace

Viz podčást Nástroje a doporučené postupy zjišťování a nasazení

Požadavek na restartování

 

Restartování požadováno

Ano, po instalaci této aktualizace zabezpečení je třeba restartovat počítač

Technologie Hotpatching

Netýká se

Informace o odinstalaci

Použijte ovládací panel Přidat nebo odebrat programy nebo nástroj Spuninst.exe umístěný ve složce %Windir%\$NTUninstallKB938827$\Spuninst.

Informace o souborech

Informace o celém seznamu souborů získáte v následující dílčí části Informace o souborech

Ověření klíče registru

Microsoft Windows 2000 Service Pack 4:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB938827\Filelist

Informace o souborech

Anglická verze této aktualizace zabezpečení má atributy souborů, které jsou uvedeny v následující tabulce. Data a časy jednotlivých souborů jsou uvedeny ve formátu UTC (Coordinated Universal Time). Při zobrazení informací o souboru jsou data a čas převedeny na místní čas. Rozdíl mezi místním časem a časem UTC naleznete na kartě Časové pásmo na panelu Datum a čas v okně Ovládací panely.

Všechna podporovaná vydání systému Microsoft Windows 2000:

Název souboruVerzeDatumČasVelikost

agentdpv.dll

2.0.0.3426

24. června 2007

17:55

53 008

sp3res.dll

5.0.2195.7136

27. května 2007

19:26

6 258 688

Poznámka: Úplný seznam podporovaných verzí a vydání naleznete v indexu časově omezené podpory. Úplný seznam aktualizací Service Pack naleznete na webu podporovaných aktualizací Service Pack s časovým omezením. Další informace o zásadách časově omezené podpory produktů naleznete na webu Zásady poskytování technické podpory pro produkty společnosti Microsoft.

Na začátek sekceNa začátek sekce
Informace o instalaci

Instalace aktualizace

Pokud nainstalujete tuto aktualizaci zabezpečení, instalační služba zkontroluje, zda některé aktualizované soubory v systému nebyly již dříve aktualizovány pomocí opravy hotfix společnosti Microsoft.

Jestliže jste dříve aktualizovali některý z uvedených souborů pomocí opravy hotfix, zkopíruje instalační služba do systému soubory ze složky RTMQFE, SP1QFE nebo SP2QFE. V opačném případě instalační služba zkopíruje do systému soubory ze složky RTMGDR, SP1GDR nebo SP2GDR. Aktualizace zabezpečení nemusí obsahovat všechny verze uvedených souborů. Další informace o tomto chování najdete v článku 824994 znalostní báze Microsoft Knowledge Base.

Další informace o instalačním nástroji získáte na webu Microsoft TechNet.

Další informace o terminologii objevující se v tomto bulletinu (například oprava hotfix) získáte v článku 824684 znalostní báze Microsoft Knowledge Base.

Tato aktualizace zabezpečení podporuje následující instalační přepínače.

Podporované instalační přepínače pro aktualizaci zabezpečení
PřepínačPopis

/help

Zobrazí parametry příkazového řádku.

Režimy instalace 

/passive

Bezobslužný režim instalace. Není vyžadována žádná akce ze strany uživatele, ale je zobrazen stav instalace. Pokud je po skončení instalace vyžadováno restartování počítače, zobrazí se dialogové okno s upozorněním, že po uplynutí 30 sekund bude počítač restartován.

/quiet

Použije tichý režim. Tichý režim je stejný jako bezobslužný, ale nezobrazují se žádné zprávy o stavu ani chybové zprávy.

Možnosti restartování 

/norestart

Nerestartuje počítač po dokončení instalace.

/forcerestart

Restartuje počítač po instalaci a vynutí ukončení ostatních aplikací při vypnutí počítače bez uložení otevřených souborů.

/warnrestart[:x]

Zobrazí dialogové okno s upozorněním časovače, že počítač bude restartován po uplynutí x sekund. (Výchozí nastavení je 30 sekund.) Je určen k použití s přepínačem /quiet nebo přepínačem /passive.

/promptrestart

Zobrazí dialogové okno s výzvou k povolení restartování.

Zvláštní možnosti 

/overwriteoem

Přepíše soubory OEM bez výzvy k potvrzení.

/nobackup

Nezálohuje soubory, které jsou nutné pro odinstalaci.

/forceappsclose

Vynutí ukončení ostatních programů při vypnutí počítače.

/log:cesta

Umožní přesměrování souborů protokolu instalace.

/extract[:cesta]

Extrahuje soubory, ale nespustí instalaci.

/ER

Povolí rozšířené podávání zpráv o chybách.

/verbose

Povolí podrobnější protokolování. Při instalaci vytvoří soubor protokolu %Windir%\CabBuild.log. Tento protokol poskytuje podrobný seznam kopírovaných souborů. Použití tohoto přepínače může způsobit zpomalení instalace.

Poznámka: V jednom příkazu je možné použít více přepínačů. Z důvodu zpětné kompatibility podporuje tato aktualizace zabezpečení také instalační přepínače používané v předchozích verzích daného instalačního nástroje. Další informace o podporovaných instalačních přepínačích získáte v článku 262841 znalostní báze Microsoft Knowledge Base.

Odebrání aktualizace

Tato aktualizace zabezpečení podporuje následující instalační přepínače.

Podporované přepínače nástroje Spuninst.exe
PřepínačPopis

/help

Zobrazí parametry příkazového řádku.

Režimy instalace 

/passive

Bezobslužný režim instalace. Není vyžadována žádná akce ze strany uživatele, ale je zobrazen stav instalace. Pokud je po skončení instalace vyžadováno restartování počítače, zobrazí se dialogové okno s upozorněním, že po uplynutí 30 sekund bude počítač restartován.

/quiet

Použije tichý režim. Tichý režim je stejný jako bezobslužný, ale nezobrazují se žádné zprávy o stavu ani chybové zprávy.

Možnosti restartování 

/norestart

Nerestartuje počítač po dokončení instalace.

/forcerestart

Restartuje počítač po instalaci a vynutí ukončení ostatních aplikací při vypnutí počítače bez uložení otevřených souborů.

/warnrestart[:x]

Zobrazí dialogové okno s upozorněním časovače, že počítač bude restartován po uplynutí x sekund. (Výchozí nastavení je 30 sekund.) Je určen k použití s přepínačem /quiet nebo přepínačem /passive.

/promptrestart

Zobrazí dialogové okno s výzvou k povolení restartování.

Zvláštní možnosti 

/forceappsclose

Vynutí ukončení ostatních programů při vypnutí počítače.

/log:cesta

Umožní přesměrování souborů protokolu instalace.

Ověření instalace aktualizace

•

Nástroj Microsoft Baseline Security Analyzer

Pokud chcete ověřit, je-li tato aktualizace zabezpečení v počítači nainstalována, můžete použít nástroj Microsoft Baseline Security Analyzer (MBSA). Další informace naleznete v části Nástroje a doporučené postupy zjišťování a nasazení výše v tomto bulletinu.

•

Ověření verze souboru

Vzhledem k různým vydáním systému Microsoft Windows se následující postup může lišit od postupu ve vašem systému. Pokud tomu tak je, bude třeba před dokončením následujících kroků konzultovat dokumentaci k produktu.

1.

Klepněte na tlačítko Start a potom na příkaz Hledat.

2.

Ve skupinovém rámečku Průvodce vyhledáváním v podokně Výsledky hledání klepněte na odkaz Všechny soubory a složky.

3.

Do pole Část nebo celý název souboru zadejte název souboru z příslušné tabulky a klepněte na tlačítko Hledat.

4.

V seznamu souborů klepněte pravým tlačítkem myši na název souboru z příslušné tabulky s informacemi o souborech a klepněte na příkaz Vlastnosti.

Poznámka V závislosti na vydání operačního systému nebo nainstalovaných programech nemusejí být některé soubory uvedené v tabulce s informacemi o souborech nainstalovány.

5.

Na kartě Verze zjistěte verzi souboru nainstalovaného v systému a porovnejte ji s verzí popsanou v příslušné tabulce s informacemi o souborech.

Poznámka: Atributy (kromě verze souboru) se mohou při instalaci změnit. Porovnání jiných atributů souboru s informacemi v příslušné tabulce není spolehlivou metodou ověření instalace aktualizace. V určitých případech mohou být soubory při instalaci přejmenovány. Pokud soubor nebo informace o verzi nejsou k dispozici, použijte k ověření instalace aktualizace některou jinou metodu.

•

Ověření klíče registru

Úspěšnou instalaci této aktualizace zabezpečení lze také ověřit revizí klíčů registru uvedených v referenční tabulce v této části.

Tyto klíče registru nemusí obsahovat úplný seznam nainstalovaných souborů. Tyto klíče registru nemusí být vytvořeny správně, pokud správce nebo výrobce OEM integruje nebo vloží aktualizaci zabezpečení do zdrojových instalačních souborů systému Windows.

Na začátek sekceNa začátek sekce
Na začátek sekceNa začátek sekce
Na začátek sekceNa začátek sekce

Další informace

Poděkování

Společnost Microsoft tímto děkuje za spolupráci při ochraně zákazníků:

•

Týmu zaměřenému na chyby zabezpečení ze společnosti Assurent Secure Technologies za oznámení chyby zabezpečení programu Agent umožňující vzdálené spuštění kódu – CVE-2007-3040

•

Yamatu Liovi ze společnosti Palo Alto Networks za oznámení chyby zabezpečení programu Agent umožňující vzdálené spuštění kódu – CVE-2007-3040

•

Anonymnímu výzkumníkovi spolupracujícímu se společností VeriSign iDefense VCP za oznámení chyby zabezpečení programu Agent umožňující vzdálené spuštění kódu – CVE-2007-3040

Na začátek sekceNa začátek sekce

Technická podpora

•

Zákazníci mohou získat technickou podporu na webu služby technické podpory společnosti Microsoft. Hovory související s aktualizacemi zabezpečení jsou bezplatné.

•

Mezinárodní zákazníci získají podporu u místních zastoupení společnosti Microsoft. Technická podpora související s aktualizacemi zabezpečení je bezplatná. Další informace o možnostech kontaktování společnosti Microsoft v případě potřeby mezinárodní technické podpory naleznete na webu mezinárodní technické podpory.

Na začátek sekceNa začátek sekce

Zřeknutí se záruky

Informace ve znalostní bázi Microsoft Knowledge Base jsou poskytovány tak, jak jsou, bez jakékoli záruky. Společnost Microsoft neposkytuje žádné záruky, výslovně uvedené či mlčky předpokládané, včetně záruk obchodovatelnosti a vhodnosti pro určitý účel. Společnost Microsoft ani její dodavatelé nenesou v žádném případě zodpovědnost za žádné škody, včetně přímých, nepřímých, náhodných či následných škod, ztráty zisku či zvláštních škod, a to ani v případě, že byli na možnost takových škod upozorněni. V některých zemích a právních řádech není dovoleno vyloučit nebo omezit odpovědnost, proto se výše uvedené omezení na vás nemusí vztahovat.

Na začátek sekceNa začátek sekce

Revize

•

V1.0 (11. září 2007): Bulletin byl publikován.

V1.1 (12. září 2007): Bulletin byl aktualizován přidáním častého dotazu, proč nejsou chybou opravenou v tomto bulletinu postiženy platformy vyšší úrovně.

Na začátek sekceNa začátek sekce

NahoruNahoru