Souhrnný bulletin zabezpečení společnosti Microsoft, červenec 2007

Publikováno: 10. července 2007 | Aktualizováno: 25. března 2008

Verze: 2.0

Tento souhrnný bulletin uvádí bulletiny zabezpečení vydané v červenci 2007.

Spolu s vydáním bulletinů pro červenec 2007 nahrazuje tento souhrnný bulletin předběžné oznámení o bulletinech vydané 5. července 2007. Další informace o službě předběžného oznámení o bulletinech naleznete v části Předběžné oznámení o bulletinech zabezpečení společnosti Microsoft.

Informace o tom, jak dostávat automatická oznámení o vydání nových bulletinů zabezpečení společnosti Microsoft, naleznete na webu Zasílání technických oznámení o zabezpečení společnosti Microsoft.

Pro zodpovězení zákaznických dotazů týkajících se těchto bulletinů uspořádá společnost Microsoft webové vysílání 11. července 2007 v 11:00 časového pásma Tichomoří (USA a Kanada). Registrovat se pro webové vysílání týkající se červencových bulletinů zabezpečení. Po tomto datu je webové vysílání dostupné na požádání. Další informace získáte v souhrnných bulletinech zabezpečení společnosti Microsoft a webovém vysílání.

Společnost Microsoft se snaží zákazníkům usnadnit upřednostnění měsíčně vydávaných aktualizací zabezpečení před jakýmikoli důležitými aktualizacemi nesouvisejícími se zabezpečením, které jsou vydány ve stejný den jako měsíčně vydávané aktualizace zabezpečení. Další informace získáte v části Další informace.

Informace o bulletinech

Shrnutí

Bulletiny zabezpečení podle závažnosti:

Kritický (3)

Identifikátor bulletinuBulletin zabezpečení společnosti Microsoft MS07-036

Název bulletinu

Chyby zabezpečení v aplikaci Microsoft Excel umožňují vzdálené spuštění kódu (936542)

Shrnutí

Tato kritická aktualizace zabezpečení řeší jednu veřejně oznámenou chybu zabezpečení a dvě chyby zabezpečení oznámené soukromou osobou a další problémy se zabezpečením zjištěné při jejich přezkoumání. Tyto chyby umožňují vzdálené spuštění kódu, pokud uživatel otevře speciálně vytvořený soubor aplikace Excel. Uživatelé, jejichž účty jsou konfigurovány tak, aby měli v systému méně uživatelských práv, by byli vystaveni menšímu riziku než uživatelé s uživatelskými právy správce.

Stupeň maximální závažnosti

Kritický

Dopad této chyby zabezpečení

Vzdálené spuštění kódu

Rozpoznávání

Pomocí nástroje MBSA (Microsoft Baseline Security Analyzer) lze určit, zda počítačový systém potřebuje tuto aktualizaci. Tato aktualizace nevyžaduje restartování.

Software obsahující tuto chybu

Office, Excel. Další informace získáte v části Software obsahující tuto chybu a umístění aktualizací ke stažení.

Identifikátor bulletinuBulletin zabezpečení společnosti Microsoft MS07-039

Název bulletinu

Chyba zabezpečení služby Active Directory systému Windows umožňuje vzdálené spuštění kódu (926122)

Shrnutí

Tato kritická aktualizace zabezpečení řeší chybu zabezpečení oznámenou soukromou osobou v implementacích služby Active Directory v systémech Windows 2000 Server a Windows Server 2003, která by mohla způsobit vzdálené spuštění kódu nebo odmítnutí služby. Výsledkem pokusů o zneužití této chyby zabezpečení bude s největší pravděpodobností odmítnutí služby. Mohlo by však dojít ke spuštění vzdáleného kódu. Aby mohl útočník zneužít tuto chybu zabezpečení v systému Windows Server 2003, musel by znát platné přihlašovací údaje. Útočník, který by tuto chybu zabezpečení zneužil, by mohl získat úplnou kontrolu nad postiženým systémem. Útočník by tak mohl instalovat programy, zobrazovat, měnit či odstraňovat data nebo vytvářet nové účty.

Stupeň maximální závažnosti

Kritický

Dopad této chyby zabezpečení

Vzdálené spuštění kódu

Rozpoznávání

Pomocí nástroje MBSA (Microsoft Baseline Security Analyzer) lze určit, zda počítačový systém potřebuje tuto aktualizaci. Aktualizace bude vyžadovat restartování počítače.

Software obsahující tuto chybu

Windows. Další informace získáte v části Software obsahující tuto chybu a umístění aktualizací ke stažení.

Identifikátor bulletinuBulletin zabezpečení společnosti Microsoft MS07-040

Název bulletinu

Chyby zabezpečení v rozhraní .NET Framework umožňují vzdálené spuštění kódu (931212)

Shrnutí

Tato aktualizace řeší tři soukromě oznámené chyby zabezpečení. Dvě z nich by mohly umožnit vzdálené spuštění kódu v klientských systémech s instalovaným rozhraním .NET Framework, jedna by mohla umožnit přístup k informacím na webech se spuštěnou funkcí ASP.NET. Ve všech případech spuštění vzdáleného kódu mají tyto chyby menší vliv na uživatele s účty konfigurovanými pro méně uživatelských oprávnění v systému než uživatelé pracující s oprávněními pro správu.

Stupeň maximální závažnosti

Kritický

Dopad této chyby zabezpečení

Vzdálené spuštění kódu

Rozpoznávání

Pomocí nástroje MBSA (Microsoft Baseline Security Analyzer) lze určit, zda počítačový systém potřebuje tuto aktualizaci. Aktualizace bude vyžadovat restartování počítače.

Software obsahující tuto chybu

.NET Framework. Další informace získáte v části Software obsahující tuto chybu a umístění aktualizací ke stažení.

Důležité (2)

Identifikátor bulletinuBulletin zabezpečení společnosti Microsoft MS07-037

Název bulletinu

Chyba zabezpečení v aplikaci Microsoft Office Publisher umožňuje vzdálené spuštění kódu (936548)

Shrnutí

Tato důležitá aktualizace zabezpečení řeší jednu veřejně známou chybu. Tato chyba zabezpečení umožňuje vzdálené spuštění kódu, pokud uživatel zobrazí speciálně vytvořený soubor aplikace Microsoft Office Publisher. Uživatelé, jejichž účty jsou konfigurovány tak, aby měli v systému méně uživatelských práv, by byli vystaveni menšímu riziku než uživatelé s uživatelskými právy správce. Zneužití této chyby zabezpečení je možné pouze při interakci s uživatelem.

Stupeň maximální závažnosti

Vysoký

Dopad této chyby zabezpečení

Vzdálené spuštění kódu

Rozpoznávání

Pomocí nástroje MBSA (Microsoft Baseline Security Analyzer) lze určit, zda počítačový systém potřebuje tuto aktualizaci. Aktualizace nevyžaduje restartování.

Software obsahující tuto chybu

Office, Publisher. Další informace získáte v části Software obsahující tuto chybu a umístění aktualizací ke stažení.

Identifikátor bulletinuBulletin zabezpečení společnosti Microsoft MS07-041

Název bulletinu

Chyba zabezpečení služby Microsoft Internet Information Services umožňuje vzdálené spuštění kódu (939373)

Shrnutí

Tato důležitá aktualizace řeší chybu zabezpečení oznámenou soukromou osobou. Tato chyba zabezpečení umožňuje vzdálené spuštění kódu, pokud uživatel odešle speciálně vytvořené požadavky URL webové stránce provozované službou IIS (Internet Information Services) 5.1 v systému Windows XP Professional Service Pack 2. Služba IIS 5.1 není součástí výchozího nastavení instalace systému Windows XP Professional Service Pack 2. Útočník, který by tuto chybu zabezpečení zneužil, by mohl získat úplnou kontrolu nad postiženým systémem.

Stupeň maximální závažnosti

Vysoký

Dopad této chyby zabezpečení

Vzdálené spuštění kódu

Rozpoznávání

Pomocí nástroje MBSA (Microsoft Baseline Security Analyzer) lze určit, zda počítačový systém potřebuje tuto aktualizaci. Aktualizace bude vyžadovat restartování počítače.

Software obsahující tuto chybu

Windows XP Professional. Další informace získáte v části Software obsahující tuto chybu a umístění aktualizací ke stažení.

Mírný (1)

Identifikátor bulletinuBulletin zabezpečení společnosti Microsoft MS07-038

Název bulletinu

Chyba zabezpečení brány firewall systému Windows Vista může umožnit přístup k informacím (935807)

Shrnutí

Tato mírně závažná aktualizace řeší chybu zabezpečení oznámenou soukromou osobou. Tato chyba zabezpečení by mohla nevyžádanému příchozímu síťovému přenosu umožnit přístup k síťovému rozhraní. Útočník by tak mohl shromáždit informace o postiženém hostiteli.

Stupeň maximální závažnosti

Mírný

Dopad této chyby zabezpečení

Přístup k informacím

Rozpoznávání

Pomocí nástroje MBSA (Microsoft Baseline Security Analyzer) lze určit, zda počítačový systém potřebuje tuto aktualizaci. Aktualizace bude vyžadovat restartování počítače.

Software obsahující tuto chybu

Windows Vista. Další informace získáte v části Software obsahující tuto chybu a umístění aktualizací ke stažení.

Software obsahující tuto chybu a umístění aktualizací ke stažení

Jak pracovat s touto tabulkou

V této tabulce zjistíte, které aktualizace zabezpečení bude třeba nainstalovat. Přečtěte si seznam všech programů a součástí a zjistěte, zda jsou u nich vyžadovány aktualizace zabezpečení. Pokud se program nebo součást v seznamu nachází, je u nich uveden dopad chyby zabezpečení s odkazem na příslušnou aktualizaci.

Poznámka: Jedna chyba zabezpečení může vyžadovat instalaci více aktualizací. Přečtěte si celý sloupec u každého identifikátoru bulletinu. Zjistíte v něm, které aktualizace nainstalovat v závislosti na programech nebo součástech nainstalovaných ve vašem systému.

Software obsahující tuto chybu a umístění aktualizací ke stažení

Podrobnosti Podrobnosti Podrobnosti Podrobnosti Podrobnosti Podrobnosti

Identifikátor bulletinu

MS07-036

MS07-037

MS07-038

MS07-039

MS07-040

MS07-041

Stupeň maximální závažnosti

Kritický

Důležité

Mírný

Kritický

Kritický

Důležité

Systémy Windows obsahující tuto chybu      

Microsoft Windows 2000 Service Pack 4

[1]

Windows 2000 Server Service Pack 4

Kritický

[1]

Windows XP Service Pack 2

[1]

Windows XP Professional Service Pack 2

Vysoký

Windows XP Professional x64 Edition

[1]

Windows XP Professional x64 Edition Service Pack 2

[1]

Windows Server 2003 Service Pack 1

Vysoký

[1]

Windows Server 2003 Service Pack 2

Vysoký

[1]

Windows Server 2003 x64 Edition

Vysoký

[1]

Windows Server 2003 x64 Edition Service Pack 2

Vysoký

[1]

Windows Server 2003 SP1 pro systémy s procesorem Itanium

Vysoký

[1]

Windows Server 2003 SP2 pro systémy s procesorem Itanium

Vysoký

[1]

Windows Vista

Mírný

[1]

Windows Vista Service Pack 1

[1]

Windows Vista x64 Edition

Mírný

[1]

Windows Vista x64 Edition Service Pack 1

[1]

Windows Server 2008

[1]

Windows Server 2008 pro systémy s procesorem Itanium

[1]

Windows Server 2008 x64 Edition

[1]

Součásti operačního systému Windows obsahující tuto chybu      

Microsoft .NET Framework 1.0
(KB928367)

Kritický

Microsoft .NET Framework 1.0
(KB930494)

Kritický

Microsoft .NET Framework 1.1
(KB928366)

Kritický

Microsoft .NET Framework 1.1
(KB933854)

Kritický

Microsoft .NET Framework 1.1
(KB929729)

Kritický

Microsoft .NET Framework 2.0
(KB928365)

Kritický

Microsoft .NET Framework 2.0
(KB929916)

Kritický

Software sady Office obsahující tuto chybu      

Microsoft Office 2000 Service Pack 3

Kritický

Excel 2003 Service Pack 2

Vysoký

Excel 2003 Viewer

Vysoký

Excel 2007

Vysoký

Sada Office Compatibility Pack pro formáty souborů aplikací Word, Excel a PowerPoint 2007

Vysoký

Publisher 2007

Vysoký

Poznámky

[1] Pro tento operační systém je k dispozici aktualizace zabezpečení. Další informace získáte v tabulce u softwaru nebo součásti obsahující tuto chybu a v příslušném bulletinu zabezpečení.

Nástroje a doporučené postupy zjišťování a nasazení

Centrum zabezpečení

Umožňuje správu aktualizací softwaru a zabezpečení, které je třeba nainstalovat na servery, stolní počítače a přenosné počítače v organizaci. Další informace naleznete na webu TechNet Update Management Center. Další informace o zabezpečení produktů společnosti Microsoft nabízí web Centrum zabezpečení TechNet. Tyto informace lze také získat klepnutím na nabídku „Nejnovější aktualizace zabezpečení“ na webu Zabezpečení doma.

Aktualizace zabezpečení jsou k dispozici na webu Microsoft Update, Windows Update a Office Update. Aktualizace zabezpečení jsou také k dispozici na webu služby Stažení softwaru. Nejsnadněji je naleznete hledáním podle klíčového slova oprava_zabezpečení (security_patch). Aktualizace zabezpečení lze mimo jiné stáhnout z katalogu služby Windows Update. Další informace o katalogu systému Windows Update získáte v článku 323166 znalostní báze Microsoft Knowledge Base.

Doporučené postupy zjišťování a instalace

Společnost Microsoft poskytla doporučené postupy zjišťování a instalace aktualizací zabezpečení vydaných tento měsíc. Tyto doporučené postupy by měly pomoci také odborníkům v oblasti IT při používání různých nástrojů při instalaci aktualizace zabezpečení, např. Windows Update, Microsoft Update, Office Update, nástroj MBSA (Microsoft Baseline Security Analyzer), nástroj pro rozpoznávání sady Office, Microsoft Systems Management Server (SMS), nástroj Extended Security Update Inventory Tool a nástroj pro vyhledávání aktualizací v rozlehlých sítích (Enterprise Update Scanning Tool - EST). Další informace získáte v článku 910723 znalostní báze Microsoft Knowledge Base.

Nástroj MBSA (Microsoft Baseline Security Analyzer) a nástroje pro vyhledávání aktualizací v rozlehlých sítích (Enterprise Update Scan Tool

Pomocí nástroje Microsoft Baseline Security Analyzer (MBSA) mohou správci prohledávat místní i vzdálené systémy a zjistit tak, jestli v nich nechybí některé aktualizace zabezpečení nebo jestli v nastavení zabezpečení systému nedošlo k některým běžným chybám. Další informace o nástroji MBSA získáte na webu Microsoft Baseline Security Analyzer.

Pokud nástroj MBSA 1.2.1 nepodporuje zjišťování určité aktualizace zabezpečení, společnost Microsoft vydá verzi nástroje pro vyhledávání aktualizací v rozlehlých sítích (Enterprise Update Scan Tool - EST) pro danou aktualizaci zabezpečení. Další informace o nástroji EST najdete na webu Enterprise Update Scan Tool.

Poznámka: Po 9. říjnu 2007 už nebude aktualizován soubor MSSecure.XML používaný nástrojem MBSA 1.2.1. Po tomto datu nebudou do souboru MSSecure.XML používaného nástrojem MBSA 1.2.1 přidávány žádné nové aktualizace zabezpečení a nebudou vydávány nové verze nástroje EST. Další informace získáte na webu Microsoft Baseline Security Analyzer.

Služba Software Update Services

Pomocí služby Microsoft Software Update Services (SUS) mohou správci systémů rychle a spolehlivě instalovat nejnovější důležité aktualizace zabezpečení pro servery se systémem Windows 2000 a Windows Server 2003 i pro stolní počítače se systémem Windows 2000 Professional nebo Windows XP Professional.

Další informace o způsobu instalace této aktualizace zabezpečení pomocí služby SUS získáte na webu služby Software Update Services.

Služba Windows Server Update Services

Pomocí služby Windows Server Update Services (WSUS) mohou správci systémů rychle a spolehlivě instalovat nejnovější důležité aktualizace zabezpečení pro systémy Windows 2000 a novější, sadu Office XP a novější, Exchange Server 2003 a SQL Server 2000 do systémů Windows 2000 a novějších.

Další informace o způsobu instalace této aktualizace zabezpečení pomocí služby Windows Server Update Services získáte na webu služby Windows Server Update Services.

Systems Management Server

Microsoft Systems Management Server (SMS) představuje v rozlehlých sítích řešení pro správu aktualizací s rozsáhlými možnostmi konfigurace. Umožňuje správcům identifikovat počítače se systémem Windows, které vyžadují aktualizace zabezpečení, a provést řízenou instalaci těchto aktualizací v celé rozlehlé síti s minimálním dopadem na koncové uživatele. Další informace o tom, jak mohou správci pomocí serveru SMS 2003 nasazovat aktualizace zabezpečení, získáte na webu Správa oprav zabezpečení pomocí serveru SMS 2003 (SMS 2003 Security Patch Management). Uživatelé serveru SMS 2.0 mohou při nasazení aktualizací zabezpečení použít také sadu Software Updates Services Feature Pack. Další informace o serveru SMS získáte na webu Microsoft Systems Management Server.

Poznámka: Server SMS využívá nástroj MBSA (Microsoft Baseline Security Analyzer) a nástroj pro rozpoznávání sady Microsoft Office, a poskytuje tak širokou podporu pro zjišťování a instalaci aktualizací uvedených v bulletinech zabezpečení. Tyto nástroje nemusí některé softwarové aktualizace zjistit. V takovém případě mohou správci použít funkce serveru SMS a nasměrovat aktualizace do určitých systémů. Další informace o tomto postupu najdete na webu Nasazení aktualizací softwaru pomocí funkce Distribuce softwaru serveru SMS. Některé aktualizace zabezpečení vyžadují po restartování počítače oprávnění správce. Správci mohou k instalaci těchto aktualizací použít nástroj Elevated Rights Deployment Tool (k dispozici v sadě SMS 2003 Administration Feature Pack a SMS 2.0 Administration Feature Pack).

Další informace

Nástroj pro odstranění škodlivého softwaru systému Microsoft Windows

Společnost Microsoft vydává aktualizovanou verzi Nástroje pro odstranění škodlivého softwaru systému Microsoft Windows na webu Windows Update, Microsoft Update, ve službě Windows Server Update Services a v centru pro stahování Download Center.

Tento nástroj není distribuován pomocí služby Software Update Services (SUS).

Důležité aktualizace nesouvisející se zabezpečením na webu Microsoft Update (MU), Windows Update (WU), ve službě Windows Server Update Services (WSUS) a Software Update Services (SUS)

Tento měsíc:

Společnost Microsoft vydala čtyři důležité aktualizace nesouvisející se zabezpečením na webu Microsoft Update (MU) a ve službě Windows Server Update Services (WSUS).

Společnost Microsoft vydala jednu důležitou aktualizaci systému Windows nesouvisející se zabezpečením na webu Windows Update (WU) a ve službě Software Update Services (SUS).

Tato informace se týká pouze důležitých aktualizací nesouvisejících se zabezpečením na webu Microsoft Update, Windows Update, ve službě Windows Server Update Services a Software Update Services vydaných ve stejný den jako souhrnný bulletin zabezpečení. Informace se netýká aktualizací nesouvisejících se zabezpečením vydaných v jiné dny.

Strategie zabezpečení a komunita

Strategie instalace aktualizací

Web Doporučené postupy zabezpečení pro správu oprav (Security Guidance for Patch Management) obsahuje další informace o instalaci aktualizací zabezpečení podle doporučení společnosti Microsoft.

Získání dalších aktualizací zabezpečení

Aktualizace odstraňující další problémy se zabezpečením získáte v následujících umístěních:

Aktualizace zabezpečení jsou k dispozici na webu služby Stažení softwaru (Microsoft Download Center). Nejsnadněji je naleznete vyhledáním klíčového slova security_patch (oprava_zabezpečení).

Aktualizace pro klientské platformy jsou k dispozici na webu Microsoft Update.

Aktualizace zabezpečení nabízené tento měsíc na webu Windows Update jsou k dispozici na webu služby Stažení softwaru v souborech obrazu ISO disku CD s vydanými aktualizacemi zabezpečení a kritickými aktualizacemi. Další informace získáte v článku 913086 znalostní báze Microsoft Knowledge Base.

Komunita odborníků v oblasti zabezpečení

Můžete se zde naučit, jak zlepšit zabezpečení a jak optimalizovat infrastrukturu IT. Také můžete s dalšími členy komunity IT Pro diskutovat o bezpečnostních tématech na webu Komunita odborníků v oblasti zabezpečení (IT Pro Security Community).

Poděkování

Společnost Microsoft tímto děkuje za spolupráci při ochraně zákazníků:

Dinisu Cruzovi ze společnosti OWASP za oznámení chyby popsané v bulletinu MS07-040.

Paulu Craigovi ze společnosti Security Assessment za oznámení chyby popsané v bulletinu MS07-040.

Jeroenu Frijtersovi ze společnosti Sumatra za oznámení chyby popsané v bulletinu MS07-040.

Společnosti ProCheckUp spolupracující s centrem UK CPNI za původní oznámení chyby popsané v bulletinu MS07-040.

Ferruhu T. Mavitunovi ze společnosti Portcullis Computer Security Ltd. za spolupráci se společností Microsoft a poskytnutí dalších informací týkajících se chyby popsané v bulletinu MS07-040.

Johannesu Gumbelovi ze společnosti TrueSec za spolupráci se společností Microsoft a poskytnutí dalších informací týkajících se chyby popsané v bulletinu MS07-040.

Peteru Winter-Smithovi ze společnosti NGSSoftware za oznámení chyby popsané v bulletinu MS07-039.

Neelu Mehtovi ze společnosti IBM Internet Security Systems x-Force za oznámení chyby popsané v bulletinu MS07-039.

Společnosti eEye za oznámení chyby popsané v bulletinu MS07-037.

Jimu Hoaglandovi a Olliemu Whitehousovi ze společnosti Symantec za oznámení chyby popsané v bulletinu MS07-038.

Jonathanu Afekovi a Adimu Sharabanimu ze společnosti Watchfire za spolupráci se společností Microsoft a poskytnutí dalších informací týkajících se chyby popsané v bulletinu MS07-041.

Peteru Winter-Smithovi ze společnosti NGSSoftware za spolupráci se společností Microsoft a poskytnutí dalších informací týkajících se chyby popsané v bulletinu MS07-041.

Technická podpora

Uvedený software byl testován za účelem zjištění, kterých verzí se chyba týká. U dalších verzí skončila časově omezená podpora. Pokud chcete zjistit dobu, po kterou je pro určitou verzi softwaru poskytována podpora, navštivte web Zásady poskytování technické podpory pro produkty společnosti Microsoft.

Zákazníci mohou získat technickou podporu na webu služby technické podpory společnosti Microsoft. Hovory související s aktualizacemi zabezpečení jsou bezplatné.

Mezinárodní zákazníci získají podporu u místních zastoupení společnosti Microsoft. Technická podpora související s aktualizacemi zabezpečení je bezplatná. Další informace o možnostech kontaktování společnosti Microsoft v případě potřeby technické podpory získáte na webu mezinárodní technické podpory.

Zřeknutí se záruky

Informace ve znalostní bázi Microsoft Knowledge Base jsou poskytovány tak, jak jsou, bez jakékoli záruky. Společnost Microsoft neposkytuje žádné záruky, výslovně uvedené či mlčky předpokládané, včetně záruk obchodovatelnosti a vhodnosti pro určitý účel. Společnost Microsoft ani její dodavatelé nenesou v žádném případě zodpovědnost za žádné škody, včetně přímých, nepřímých, náhodných či následných škod, ztráty zisku či zvláštních škod, a to ani v případě, že byli na možnost takových škod upozorněni. V některých zemích a právních řádech není dovoleno vyloučit nebo omezit odpovědnost, proto se výše uvedené omezení na vás nemusí vztahovat.

Revize

V1.0 (10. července 2007): Souhrnný bulletin byl publikován.

V2.0 (25. března 2008): Do tabulky softwaru obsahujícího chybu zabezpečení byl přidán systém Windows Vista Service Pack 1, Windows Vista x64 Edition Service Pack 1, Windows Server 2008, Windows Server 2008 pro systémy s procesorem Itanium a Windows Server 2008 x64 Edition.


NahoruNahoru