Biuletyn zabezpieczeń firmy Microsoft MS04-011

Aktualizacja zabezpieczeń dla systemu Microsoft Windows (835732)

Opublikowano: 21 kwietnia 2004 r.
Wersja: 1.0

Streszczenie

Kto powinien przeczytać ten dokument: Klienci używający systemu operacyjnego Microsoft® Windows®

Wpływ usterki: Zdalne wykonanie kodu

Maksymalny wskaźnik ważności: Krytyczny

Zalecenie: Klienci powinni natychmiast zastosować tę aktualizację.

Zastąpienie aktualizacji zabezpieczeń: Ten biuletyn zastępuje kilka wcześniejszych aktualizacji zabezpieczeń. Pełna lista zastępowanych aktualizacji znajduje się w sekcji „Często zadawane pytania” w tym biuletynie.

Ostrzeżenia: Brak.

Lokalizacje, z których można pobrać przetestowane oprogramowanie i aktualizacje zabezpieczeń:

Podlegające oprogramowanie

• Microsoft Windows NT® Workstation 4.0 z dodatkiem Service Pack 6a — Pobierz aktualizację
• Microsoft Windows NT Server 4.0 z dodatkiem Service Pack 6a — Pobierz aktualizację
• Microsoft Windows NT Server 4.0 Terminal Server Edition z dodatkiem Service Pack 6 — Pobierz aktualizację
• Microsoft Windows 2000 z dodatkiem Service Pack 2, Microsoft Windows 2000 z dodatkiem Service Pack 3 i Microsoft Windows 2000 z dodatkiem Service Pack 4 — Pobierz aktualizację
• Microsoft Windows XP i Microsoft Windows XP z dodatkiem Service Pack 1 — Pobierz aktualizację
• Microsoft Windows XP w wydaniu 64-bitowym z dodatkiem Service Pack 1 — Pobierz aktualizację
• Microsoft Windows XP w wydaniu 64-bitowym, wersja 2003 — Pobierz aktualizację
• Microsoft Windows Server™ 2003 — Pobierz aktualizację
• Microsoft Windows Server 2003 w wydaniu 64-bitowym — Pobierz aktualizację
• Microsoft NetMeeting
• Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE) i Microsoft Windows Millennium Edition (ME) — szczegółowe informacje na temat tych systemów operacyjnych znajdują się w sekcji „Często zadawane pytania” w tym biuletynie.

Powyższe oprogramowanie przetestowano w celu określenia wersji, których dotyczy problem. Inne wersje nie obsługują już poprawki zabezpieczeń lub problem ich nie dotyczy. Aby sprawdzić zasady cyklu pomocy technicznej dotyczące produktów i wersji, zobacz witrynę sieci Web zasad cyklu pomocy technicznej firmy Microsoft.

Szczegółowe informacje techniczne

Podsumowanie:
Ta aktualizacja rozwiązuje klika nowo wykrytych usterek. Każda usterka jest opisana w osobnej sekcji tego biuletynu.
Osoba atakująca, której uda się wykorzystać najpoważniejsze z tych usterek, może przejąć całkowitą kontrolę nad systemem podlegającym usterce z możliwością instalowania programów, przeglądania, zmieniania lub usuwania danych oraz tworzenia nowych kont z pełnymi uprawnieniami.

Firma Microsoft zaleca klientom natychmiastowe zastosowanie tej aktualizacji.
 

Wskaźnik ważności i identyfikatory usterek:

Identyfikatory usterek	Wpływ usterki	Windows 98, SE, ME	Windows NT 4.0	Windows 2000	Windows XP	Windows Server 2003
Usterka usługi LSASS — CAN-2003-0533	Zdalne wykonanie kodu	Brak	Brak	Krytyczny	Krytyczny	Niski
Usterka protokołu LDAP — CAN-2003-0663	Odmowa usługi	Brak	Brak	Ważny	Brak	Brak
Usterka protokołu PCT — CAN-2003-0719	Zdalne wykonanie kodu	Brak	Krytyczny	Krytyczny	Krytyczny	Niski
Usterka usługi Winlogon — CAN-2003-0663	Zdalne wykonanie kodu	Brak	Średni	Średni	Średni	Brak
Usterka metapliku — CAN-2003-0906	Zdalne wykonanie kodu	Brak	Krytyczny	Krytyczny	Krytyczny	Brak
Usterka Centrum pomocy i obsługi technicznej — CAN-2003-0907	Zdalne wykonanie kodu	Brak	Brak	Brak	Krytyczny	Krytyczny
Usterka Menedżera narzędzi — CAN-2003-0908	Podniesienie uprawnień	Brak	Brak	Ważny	Brak	Brak
Usterka zarządzania systemem Windows — CAN-2003-0909	Podniesienie uprawnień	Brak	Brak	Brak	Ważny	Brak
Usterka tablicy deskryptorów lokalnych — CAN-2003-0910	Podniesienie uprawnień	Brak	Ważny	Ważny	Brak	Brak
Usterka protokołu H.323 *— CAN-2004-0117	Zdalne wykonanie kodu	Niekrytyczny	Brak	Ważny	Ważny	Ważny
Usterka wirtualnej maszyny DOS — CAN-2004-0118	Podniesienie uprawnień	Brak	Ważny	Ważny	Brak	Brak
Usterka w interfejsie negocjowania dostawcy SPP — CAN-2004-0119	Zdalne wykonanie kodu	Brak	Brak	Krytyczny	Krytyczny	Krytyczny
Usterka protokołu SSL — CAN-2004-0120	Odmowa usługi	Brak	Brak	Ważny	Ważny	Ważny
Usterka notacji ASN.1 „podwójnego zwalniania” — CAN-2004-0123	Zdalne wykonanie kodu	Niekrytyczny	Krytyczny	Krytyczny	Krytyczny	Krytyczny
Zbiorczy wskaźnik ważności wszystkich usterek		Niekrytyczny	Krytyczny	Krytyczny	Krytyczny	Krytyczny

 

*Uwaga Wskaźnik ważności usterki protokołu H.323 — CAN-2004-0117 w przypadku samodzielnej wersji programu NetMeeting to Ważny. Aby pobrać zaktualizowaną wersję programu NetMeeting z rozwiązaniem tej usterki, należy odwiedzić następującą witrynę sieci Web. Tę wersję programu NetMeeting można zainstalować na dowolnym komputerze z systemem Windows 98, Windows 98 Second Edition, Windows Millennium Edition oraz Windows NT 4.0.

 Powyższą klasyfikację sformułowano na podstawie typów systemów, których dotyczy ta usterka, ich typowych wzorców rozmieszczenia oraz skutków wykorzystania usterki w tych systemach.

Często zadawane pytania

Dlaczego ta aktualizacja dotyczy kliku zgłoszonych usterek zabezpieczeń?

Ta aktualizacja obsługuje klika usterek, ponieważ modyfikacje konieczne do ich rozwiązania należy wprowadzić w powiązanych ze sobą plikach. Zamiast instalować klika aktualizacji zawierających niemal identyczne pliki, klienci mogą skorzystać tylko z tej aktualizacji.

Jakie aktualizacje zastępuje bieżąca aktualizacja?

Bieżąca aktualizacja zabezpieczeń zastępuje kilka wcześniejszych biuletynów zabezpieczeń. W poniższej tabeli zamieszczono identyfikatory biuletynów zabezpieczeń i podlegające systemy operacyjne.

Identyfikator biuletynu	Windows NT 4.0	Windows 2000	Windows XP	Windows Server 2003
MS99-023	Zastąpiony	Nie dotyczy	Nie dotyczy	Nie dotyczy
MS00-027	Nie zastąpiony	Zastąpiony	Nie dotyczy	Nie dotyczy
MS00-032	Nie dotyczy	Zastąpiony	Nie dotyczy	Nie dotyczy
MS00-070	Nie zastąpiony	Zastąpiony	Nie dotyczy	Nie dotyczy
MS02-050	Zastąpiony	Nie zastąpiony	Nie dotyczy	Nie dotyczy
MS02-051	Nie dotyczy	Zastąpiony	Nie zastąpiony	Nie dotyczy
MS02-071	Zastąpiony	Zastąpiony	Nie zastąpiony	Nie dotyczy
MS03-007	Nie zastąpiony	Zastąpiony	Nie zastąpiony	Nie dotyczy
MS03-013	Zastąpiony	Nie zastąpiony	Nie zastąpiony	Nie dotyczy
MS03-025	Nie dotyczy	Zastąpiony	Nie dotyczy	Nie dotyczy
MS03-027	Nie dotyczy	Nie dotyczy	Nie zastąpiony	Nie dotyczy
MS03-041	Zastąpiony	Nie zastąpiony	Nie zastąpiony	Nie zastąpiony
MS03-041	Zastąpiony	Zastąpiony	Nie zastąpiony	Nie zastąpiony
MS04-007	Zastąpiony	Zastąpiony	Zastąpiony	Zastąpiony

 

Czy ta aktualizacja jest zbiorczą aktualizacją zabezpieczeń, czy zbiorczym pakietem zabezpieczeń?
Nie należy ona do żadnego z tych typów. Zbiorcza aktualizacja zabezpieczeń obsługuje zazwyczaj wszystkie poprzednie aktualizacje. W przypadku tej aktualizacji nie jest oferowana obsługa wszystkich poprzednich aktualizacji we wszystkich systemach operacyjnych.

W przypadku zbiorczego pakietu zabezpieczeń najczęściej poprzednie wydania aktualizacji są łączone w całość, co ułatwia instalację i przyśpiesza pobieranie. Zbiorcze pakiety zabezpieczeń nie zawierają jednak modyfikacji dotyczących nowych usterek — w przeciwieństwie do tej aktualizacji.

Systemy operacyjne Windows 98, Windows 98 Second Edition i Windows Millennium Edition znajdują się w fazie przedłużonej pomocy technicznej. W jaki sposób wpływa to na aktualizacje zabezpieczeń publikowane dla tych systemów operacyjnych?
Firma Microsoft publikuje wyłącznie aktualizacje zabezpieczeń dotyczące problemów krytycznych. W tym okresie pomocy technicznej nie są udostępniane aktualizacje zabezpieczeń dotyczące problemów o wskaźniku ważności innym niż krytyczny. Więcej informacji na temat zasad cyklu pomocy technicznej firmy Microsoft dla tych systemów operacyjnych można znaleźć w następującej witrynie sieci Web .

Więcej informacji o wskaźnikach ważności można znaleźć w następującej witrynie sieci Web .

 

Czy systemy operacyjne Windows 98, Windows 98 Second Edition i Windows Millennium Edition podlegają usterkom omówionym w tym biuletynie zabezpieczeń w stopniu krytycznym?
Nie. Wskaźnik ważności żadnej z tych usterek nie jest krytyczny w systemach Windows 98, Windows 98 Second Edition i Windows Millennium Edition.

Czy ta aktualizacja zawiera inne zmiany funkcjonalne?
Tak. Poza modyfikacjami wymienionymi w częściach tego biuletynu zawierających szczegółowe informacje ta aktualizacja wiąże się z następującymi zmianami funkcjonalnymi: pliki z rozszerzeniem „folder” nie są już kojarzone z katalogiem. Będą one w dalszym ciągu obsługiwane w odpowiednich systemach. Nie będą już jednak wyświetlane jako katalogi w programie Eksplorator Windows i innych aplikacjach.

Czy za pomocą narzędzia Microsoft Baseline Security Analyzer (MBSA) można określić, czy ta aktualizacja jest wymagana?
Tak. Narzędzie MBSA umożliwia określenie, czy zainstalowanie tej aktualizacji jest wymagane. Więcej informacji na temat narzędzia MBSA można znaleźć w witrynie sieci Web programu MBSA .

Czy za pomocą programu Systems Management Server (SMS) można określić, czy ta aktualizacja jest wymagana ?
Tak. Program SMS umożliwia wykrycie i wdrożenie tej aktualizacji zabezpieczeń . Więcej informacji na temat programu SMS można znaleźć w witrynie sieci Web programu SMS .

Szczegółowe informacje o usterce

Usterka usługi LSASS — CAN-2003-0533:

W usłudze LSASS istnieje usterka przepełnienia buforu umożliwiająca zdalne wykonanie kodu w systemie podlegającym usterce. Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce.

Czynniki ograniczające zagrożenie w przypadku usterki usługi LSASS — CAN-2003-0533:

• Użytkownik anonimowy może zaatakować tylko systemy Windows 2000 i Windows XP. W systemach Windows Server 2003 i w 64-bitowym wydaniu systemu Windows XP 2003 usterka ta istnieje, ale może ją wykorzystać tylko administrator lokalny.
• Ta usterka nie dotyczy systemu Windows NT 4.0.
• Sprawdzone metody działania stosowane w zaporach oraz standardowe domyślne konfiguracje zapór mogą pomóc w zabezpieczeniu sieci przed atakami spoza obszaru działania przedsiębiorstwa. Zgodnie ze standardowymi zasadami działania zaleca się, aby w systemach połączonych z Internetem była otwarta jak najmniejsza liczba portów.

Rozwiązania problemu spowodowanego usterką usługi LSASS — CAN-2003-0533:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.

•  Używanie zapory osobistej, takiej jak Zapora połączenia internetowego dostarczana z systemami operacyjnymi Windows XP i Windows Server 2003.

Jeśli Zapora połączenia internetowego dostępna w systemach Windows XP i Windows Server 2003 jest używana do ochrony połączenia internetowego, niepożądany ruch przychodzący jest domyślnie blokowany. Firma Microsoft zaleca blokowanie całej niepożądanej komunikacji przychodzącej z Internetu.

Aby włączyć Zaporę połączenia internetowego za pomocą Kreatora konfiguracji sieci, wykonaj następujące czynności:

1. Kliknij przycisk Start , a następnie kliknij polecenie Panel sterowania .
2. W domyślnym widoku kategorii kliknij kategorię Połączenia sieciowe i internetowe , a następnie kliknij opcję Konfiguruj lub zmień ustawienia sieci w domu lub w małej firmie . Zapora połączenia internetowego jest włączana po wybraniu w Kreatorze konfiguracji sieci konfiguracji wskazującej, że system jest bezpośrednio połączony z Internetem.

Aby ręcznie skonfigurować Zaporę połączenia internetowego dla określonego połączenia, wykonaj następujące czynności:

1. Kliknij przycisk Start , a następnie kliknij polecenie Panel sterowania .
2. W domyślnym widoku kategorii kliknij kategorię Połączenia sieciowe i internetowe , a następnie kliknij opcję Połączenia sieciowe .
3. Kliknij prawym przyciskiem myszy połączenie, dla którego chcesz włączyć Zaporę połączenia internetowego, a następnie kliknij polecenie Właściwości .
4. Kliknij kartę Zaawansowane .
5. Kliknij pole wyboru Chroń mój komputer i moją sieć, ograniczając lub wykluczając dostęp do tego komputera z Internetu , aby je zaznaczyć, a następnie kliknij przycisk OK .

Uwaga Aby umożliwić używanie określonych programów i usług przez zaporę, kliknij przycisk Ustawienia na karcie Zaawansowane , a następnie zaznacz odpowiednie programy, protokoły i usługi.

• Zablokowanie na zaporze następujących protokołów i portów:
  • Porty UDP 135, 137, 138 i 445 oraz porty TCP 135, 139, 445 i 593.
  • Cały niepożądany ruch przychodzący przez porty o numerach wyższych niż 1024.
  • Wszystkie inne jawnie skonfigurowane porty RPC.

Te porty są używane do nawiązywania połączeń z usługą RPC. Zablokowanie tych portów na zaporze może pomóc w zabezpieczeniu systemów chronionych zaporą przed próbami wykorzystania usterki opisanej w tym biuletynie. Należy także zablokować wszelkie inne jawnie skonfigurowane porty RPC w systemie zdalnym. W celu zapobieżenia atakom mogącym wykorzystywać inne porty firma Microsoft zaleca blokowanie całego niepożądanego ruchu przychodzącego z Internetu. Więcej informacji na temat portów używanych przez usługę RPC można znaleźć w następującej witrynie sieci Web . [PW1]

 

• Włączenie zaawansowanego filtrowania TCP/IP w systemach obsługujących tę funkcję.

Włączenie zaawansowanego filtrowania TCP/IP umożliwia zablokowanie wszelkiego niepożądanego ruchu przychodzącego. Aby uzyskać więcej informacji na temat sposobu konfigurowania filtrowania TCP/IP, zobacz artykuł 309798 w bazie wiedzy Microsoft Knowledge Base.

• Zablokowanie wszystkich portów używających protokołu IPSec w systemach podlegających usterce.
  Do ochrony komunikacji sieciowej można użyć zabezpieczeń protokołu internetowego (IPSec). Szczegółowe informacje na temat protokołu IPSec i sposobu stosowania filtrów znajdują się w artykułach 313190 i 813878 w bazie wiedzy Microsoft Knowledge Base.

Często zadawane pytania dotyczące usterki usługi LSASS — CAN-2003-0533:

Jaki zakres obejmuje ta usterka?
Jest to usterka powodująca przepełnienie buforu . Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może zdalnie przejąć pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
Jej źródłem jest niesprawdzony bufor w usłudze LSASS.

Co to jest usługa LSASS?
Usługa LSASS (Local Security Authority Subsystem Service) stanowi interfejs zarządzania zabezpieczeniami lokalnymi, uwierzytelnianiem domeny i procesami usługi Active Directory. Obsługuje ona uwierzytelnianie na potrzeby klienta i serwera. Zawiera funkcje używane do obsługi narzędzi usługi Active Directory.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce.

Kto może wykorzystać usterkę?
Próbę wykorzystania tej usterki w systemach Windows 2000 i Windows XP może podjąć użytkownik anonimowy mający możliwość dostarczenia do systemu podlegającego usterce specjalnie spreparowanego komunikatu.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Osoba atakująca może wykorzystać tę usterkę, tworząc specjalnie spreparowany komunikat i wysyłając go do systemu podlegającego usterce. W rezultacie w systemie może zostać wykonany pewien kod.

Osoba atakująca może także uzyskać dostęp do składnika podlegającego usterce z innego kierunku. Może ona na przykład zalogować się w systemie interakcyjnie lub za pomocą innego programu, który przekazuje parametry do składnika podlegającego usterce (lokalnie lub zdalnie).

Jakie systemy są szczególnie narażone na skutki tej usterki?
Najbardziej zagrożone tą usterką są systemy Windows 2000 i Windows XP.

W systemach Windows Server 2003 oraz w 64-bitowym wydaniu systemu Windows XP 2003 istnieją dodatkowe czynniki ochronne. W tych systemach usterkę może wykorzystać tylko administrator, który zaloguje się lokalnie.

W jaki sposób działa aktualizacja?
Aktualizacja usuwa usterkę, zmieniając sposób zatwierdzania długości komunikatów przed przekazaniem ich do przydzielonego buforu w usłudze LSASS.

Aktualizacja ta usuwa także narażony na skutki usterki kod z systemów Windows 2000 Professional i Windows XP, ponieważ w tych systemach podatny na działanie usterki interfejs nie jest wymagany. Zapewnia to ochronę przeciwko usterkom, które mogłyby wystąpić w tej usłudze w przyszłości.

Usterka protokołu LDAP — CAN-2003-0663:

Wykryto usterkę typu odmowa usługi umożliwiającą osobie atakujące wysłanie specjalnie spreparowanego komunikatu w protokole LDAP do kontrolera domeny systemu Windows 2000. Atakujący może spowodować, że usługa odpowiedzialna za uwierzytelnianie użytkowników w domenie usługi Active Directory przestanie odpowiadać.

Czynniki ograniczające zagrożenie w przypadku usterki protokołu LDAP — CAN-2003-0663:

• Aby wykorzystać tę usterkę, osoba atakująca musi wysłać specjalnie spreparowany komunikat LDAP do kontrolera domeny. Jeżeli porty protokołu LDAP nie są zablokowane przez zaporę, osoba atakująca może wykorzystać tę usterkę bez żadnych dodatkowych uprawnień.
• Ta usterka dotyczy tylko kontrolerów domeny systemu Windows 2000 Server. Kontrolery domeny systemu Windows Server 2003 nie są na nią narażone.
• Ta usterka nie dotyczy systemów Windows NT 4.0 i Windows XP.
• Jeżeli osobie atakującej uda się wykorzystać tę usterkę, w systemie podlegającym usterce może zostać wyświetlone ostrzeżenie o automatycznym ponownym uruchomieniu po 60-sekundowym odliczaniu. Po zakończeniu tego 60-sekundowego odliczania system podlegający usterce zostanie ponownie uruchomiony. Po ponownym uruchomieniu zostanie przywrócony normalny tryb pracy. Jednak do czasu zainstalowania aktualizacji system ten będzie narażony na nowe ataki typu odmowa usługi.
• Metody działania stosowane w zaporach oraz standardowe, domyślne konfiguracje zapór mogą pomóc w zabezpieczeniu sieci przed atakami spoza obszaru działania przedsiębiorstwa. Zgodnie ze standardowymi zasadami działania zaleca się, aby w systemach połączonych z Internetem była otwarta jak najmniejsza liczba portów. 

Rozwiązania problemu spowodowanego usterką protokołu LDAP — CAN-2003-0663:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.

• Zablokowanie portów LDAP TCP 389, 636, 3268 oraz 3269 na zaporze

Te porty służą do inicjowania połączeń z kontrolerem domeny systemu Windows 2000 w protokole LDAP. Zablokowanie ich na zaporze może pomóc w zabezpieczeniu systemów chronionych tą zaporą przed próbami ataków przed atakami spoza obszaru działania przedsiębiorstwa wykorzystującymi opisywaną usterkę. Do wykorzystania tej usterki można wprawdzie użyć innych portów, ale wymienione stanowią najczęstsze kierunki ataków. Firma Microsoft zaleca zablokowanie całej niepożądanej komunikacji przychodzącej z Internetu. Pozwoli to zapobiec atakom przeprowadzanym za pośrednictwem innych portów.

Wpływ rozwiązania: Po zablokowaniu tych portów uwierzytelnianie domeny usługi Active Directory za pośrednictwem połączenia sieciowego będzie niemożliwe.
 

Najczęściej zadawane pytania dotyczące usterki protokołu LDAP — CAN-2003-0663:

Jaki zakres obejmuje ta usterka?
Usterka ta powoduje awarię typu odmowa usługi . Osoba atakująca, która ją wykorzysta, może wywołać automatyczne ponowne uruchomienie serwera. W tym czasie serwer przestanie odpowiadać na żądania uwierzytelnienia. Ta usterka istnieje w systemach Windows 2000 Server pełniących rolę kontrolerów domeny. Jedynym jej skutkiem w innych systemach Windows 2000 jest uniemożliwienie klientom logowania w domenie, gdy ich kontroler domeny przestaje odpowiadać.

W jaki sposób powstaje usterka?
Jest ona wynikiem przetwarzania specjalnie spreparowanych komunikatów protokołu LDAP przez usługę Local Security Authority Subsystem Service (LSASS).

Co to jest protokół LDAP?
LDAP (Lightweight Directory Access Protocol) to będący branżowym standardem protokół umożliwiający uprawnionym użytkownikom tworzenie zapytań dotyczących danych przechowywanych w metakatalogu lub modyfikowanie ich. Na przykład w systemie Windows 2000 protokół LDAP służy do uzyskiwania dostępu do danych w usłudze Active Directory .

Na czym polega błąd w obsłudze specjalnie spreparowanych komunikatów protokołu LDAP?
Osoba atakująca może wysłać specjalnie spreparowany komunikat w protokole LDAP do usługi LSASS i spowodować, że przestanie ona odpowiadać.

Co to jest usługa LSASS?
Usługa LSASS (Local Security Authority Subsystem Service) stanowi interfejs zarządzania zabezpieczeniami lokalnymi, uwierzytelnianiem domeny i procesami usługi Active Directory. Obsługuje ona uwierzytelnianie na potrzeby klienta i serwera. Zawiera funkcje używane do obsługi narzędzi usługi Active Directory.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, której uda się wykorzystać tę usterkę, może spowodować, że usługa LSASS przestanie odpowiadać, a system podlegający usterce zostanie ponownie uruchomiony. W systemie tym może zostać wyświetlone ostrzeżenie o automatycznym ponownym uruchomieniu po 60-sekundowym odliczaniu. W czasie tego odliczania uwierzytelnianie lokalne na konsoli i uwierzytelnianie domeny użytkownika w systemie podlegającym usterce będzie niemożliwe. Po zakończeniu tego 60-sekundowego odliczania system podlegający usterce zostanie ponownie uruchomiony. Jeżeli użytkownicy nie mogą przeprowadzić uwierzytelnienia w systemie podlegającym usterce, mogą nie uzyskać dostępu do zasobów domeny. Po ponownym uruchomieniu zostanie przywrócony normalny tryb pracy. Jednak do czasu zainstalowania aktualizacji będzie on narażony na nowe ataki typu odmowa usługi.

Kto może wykorzystać usterkę?
Usterkę może wykorzystać każdy użytkownik anonimowy, który jest w stanie dostarczyć specjalnie spreparowany komunikat protokołu LDAP do systemu podlegającego usterce.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Osoba atakująca może wykorzystać tę usterkę, wysyłając specjalnie spreparowany komunikat protokołu LDAP do kontrolerów domeny w pojedynczym lesie lub w wielu lasach. Może to wywołać odmowę usługi uwierzytelniania domen w całym przedsiębiorstwie. Usługa LSASS może w rezultacie przestać odpowiadać i spowodować ponowne uruchomienie systemu podlegającego usterce. Wysłanie tego specjalnie spreparowanego komunikatu w protokole LDAP nie wymaga od osoby atakującej posiadania ważnego konta użytkownika w tej domenie. Atak ten można przeprowadzić, korzystając z dostępu anonimowego.

Jakie systemy są szczególnie narażone na skutki tej usterki?
Narażane na nie są tylko kontrolery domeny systemu Windows 2000.

Korzystam z systemu Windows 2000. Jakie systemy muszę zaktualizować?
Aktualizację dotyczącą tej usterki należy zainstalować tylko w systemach używanych z kontrolerami domeny systemu Windows 2000. Aktualizację można jednak bezpiecznie zainstalować w systemach Windows 2000 Server spełniających inne funkcje. Firma Microsoft zaleca zainstalowanie tej aktualizacji w systemach, które mogą w przyszłości funkcjonować jako kontrolery domeny.

W jaki sposób działa aktualizacja?
Ta aktualizacja usuwa usterkę, modyfikując sposób przetwarzania specjalnie spreparowanego komunikatu w protokole LDAP przez usługę LSASS.

Usterka protokołu PCT — CAN-2003-0719:

W protokole PCT (Private Communications Transport) należącym do biblioteki protokołu SSL (Secure Sockets Layer) firmy Microsoft istnieje usterka mogąca wywołać przepełnienie buforu. Na skutki tej usterki narażone są tylko systemy z włączonym protokołem SSL i w pewnych przypadkach kontrolery domeny w systemie Windows 2000. Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce.

 

Czynniki ograniczające zagrożenie w przypadku usterki protokołu PCT — CAN-2003-0719:

• Dotyczy ona tylko systemów z włączonym protokołem SSL, zazwyczaj tylko serwerowych. W żadnym z systemów, których dotyczy problem, obsługa protokołu SSL nie jest domyślnie włączona. Jednak protokół SSL jest zazwyczaj używany na serwerach sieci Web do obsługi programów związanych z handlem elektronicznym, bankowością elektroniczną i innych aplikacji wymagających zabezpieczeń komunikacji.
• System Windows Server 2003 jest narażony na skutki tej usterki tylko w przypadku ręcznego włączenia protokołu PCT przez administratora (nawet jeśli protokół SSL został włączony)
• W niektórych sytuacjach funkcje związane z publikowaniem w sieci Web w programach ISA Server 2000 lub Proxy Server 2.0 mogą skutecznie zablokować próby wykorzystania tej usterki. Testy wykazały, że funkcje publikowania w sieci Web programu ISA Server 2000 z włączonym filtrowaniem pakietów przy zaznaczonych wszystkich opcjach mogą skutecznie zablokować atak bez zauważalnych skutków ubocznych. Program Proxy Server 2.0 także skutecznie blokuje ten atak. Jednak do momentu zastosowania tej aktualizacji zabezpieczeń w systemie z programem Proxy Server 2.0 atak powoduje, że usługi sieci Web w programie Proxy Server 2.0 przestają odpowiadać i należy ponownie uruchomić system.
• Sprawdzone metody działania stosowane w zaporach oraz standardowe domyślne konfiguracje zapór mogą pomóc w zabezpieczeniu sieci przed atakami spoza obszaru działania przedsiębiorstwa. Zgodnie ze standardowymi zasadami działania zaleca się, aby w systemach połączonych z Internetem była otwarta jak najmniejsza liczba portów.
   

Rozwiązania problemu spowodowanego usterką protokołu PCT — CAN-2003-0719:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.

• Wyłączenie obsługi protokołu PCT w rejestrze

Pełna dokumentacja tego rozwiązania znajduje się w artykule 187498 bazy wiedzy Microsoft Knowledge Base. Poniżej umieszczono streszczenie tego artykułu .

Wykonując poniższe czynności, można wyłączyć protokół PCT 1.0 uniemożliwiający negocjowanie korzystania z systemu podlegającemu usterce.

Uwaga Nieprawidłowe korzystanie z Edytora rejestru może wywołać poważne problemy, których rozwiązanie może wymagać ponownego zainstalowania systemu operacyjnego. Firma Microsoft nie może zagwarantować, że problemy wynikające z nieprawidłowego korzystania z Edytora rejestru można rozwiązać. Użytkownik korzysta z tego narzędzia na własne ryzyko.

Aby uzyskać informacje na temat edytowania rejestru, należy zapoznać się tematem Pomocy „Zmienianie nazw kluczy lub wartości” w Edytorze rejestru (Regedit.exe) lub z tematami „Dodawanie i usuwanie informacji w rejestrze” oraz „Edytowanie danych rejestru” w programie Regedt32.exe.

Uwaga Przed rozpoczęciem edytowania rejestru warto wykonać jego kopię zapasową.

• Kliknij przycisk Start , kliknij polecenie Uruchom , wpisz ciąg „ regedt32 ” (bez cudzysłowów), a następnie kliknij przycisk OK.
• W Edytorze rejestru znajdź następujący klucz: HKey_Local_Machine\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0\Server           

• W menu Edycja kliknij polecenie Dodaj wartość , aby utworzyć nową wartość typu REG_BINARY o nazwie „Enabled” w podkluczu Server .
• Na liście Typ danych kliknij pozycję REG_BINARY .
• W polu tekstowym Nazwa wartości wpisz ciąg „ Enabled ” (bez cudzysłowów), a następnie kliknij przycisk OK .
  Uwaga Jeżeli ta wartość już istnieje, kliknij ją dwukrotnie w celu edycji, a następnie przejdź do punktu 6.
• W Edytorze binarnym ustaw wartość nowych kluczy na 0, wpisując następujący ciąg: 00000000 .
• Kliknij przycisk OK , a następnie ponownie uruchom system.

Uwaga Aby włączyć protokół PCT, zmień wartość klucza rejestru Enabled na 00000001 , a następnie ponownie uruchom system.

 

Często zadawane pytania dotyczące usterki w protokole PCT — CAN-2003-0719:

Jaki zakres obejmuje ta usterka?
W protokole PCT (Private Communications Transport) należącym do biblioteki protokołu SSL (Secure Sockets Layer) firmy Microsoft istnieje usterka mogąca wywołać przepełnienie buforu . Na skutki tej usterki narażone są tylko systemy z włączonym protokołem SSL i w pewnych przypadkach kontrolery domeny w systemie Windows 2000.

Na skutki usterki narażone są wszystkie programy, w których używany jest protokół SSL. Protokół SSL zwykle jest skojarzony z programem Internetowe usługi informacyjne za pośrednictwem protokołu HTTPS i portu 443, więc usterka dotyczy wszystkich usług na danej platformie, w których jest zaimplementowany protokół SSL. Dotyczy to w szczególności programów Internetowe usługi informacyjne 4.0, Internetowe usługi informacyjne 5.0, Internetowe usługi informacyjne 5.1, Microsoft Exchange Server 5.5, Microsoft Exchange Server 2000, Microsoft Exchange Server 2003, Microsoft Analysis Services 2000 (połączony z programem SQL Server 2000) oraz wszystkich programów innych firm, w których jest używany protokół PCT. Program SQL Server 2000 nie jest zagrożony, ponieważ połączenia w protokole PCT są w nim blokowane.

System Windows Server 2003 oraz program Internetowe usługi informacyjne 6.0 są narażone na skutki tej usterki tylko w przypadku ręcznego włączenia protokołu PCT przez administratora (nawet jeśli protokół SSL został włączony).

Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
Jej źródłem jest proces, z którego korzysta biblioteka protokołu SSL do sprawdzania danych wejściowych w komunikatach.

Co to jest usługa biblioteka protokołu SSL?
Biblioteka protokołu SSL (Secure Sockets Layer ) firmy Microsoft umożliwia obsługę wielu protokołów zabezpieczonej komunikacji . Są to między innymi protokoły TLS (Transport Layer Security) 1.0, SSL (Secure Sockets Layer) 3.0 oraz starsze i rzadko używane SSL (Secure Sockets Layer) 2.0 i PCT (Private Communication Technology) 1.0.

Zapewniają one realizację zaszyfrowanego połączenia między serwerem a systemem klienckim. Protokół SSL umożliwia ochronę informacji przesyłanych w sieciach publicznych, takich jak Internet. Jego obsługa wymaga zainstalowania na serwerze certyfikatu SSL. Więcej informacji o protokole SSL można znaleźć w artykule 245152 bazy wiedzy Microsoft Knowledge Base.

Co to jest protokół PCT?
PCT (Private Communication Technology) to protokół opracowany przez firmy Microsoft i Visa International do szyfrowania informacji w Internecie. Powstał jako rozwiązanie alternatywne w stosunku do protokołu SSL 2.0. Przypomina on protokół SSL. Format komunikatów jest na tyle podobny, że serwer może wchodzić w interakcję zarówno z klientami obsługującymi protokół SSL, jak i z klientami z obsługą protokołu PCT.

PCT to starszy protokół. Zastąpiony protokołem SSL 3.0, wyszedł on już z powszechnego użycia. Biblioteka protokołu SSL (Secure Sockets Layer) firmy Microsoft obsługuje protokół PCT tylko na zasadzie zgodności wstecznej. W większości nowoczesnych programów i serwerów używany jest protokół SSL 3.0, a protokół PCT nie jest już wymagany. Szczegółowe informacje można znaleźć w witrynie sieci Web biblioteki MSDN .

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

Kto może wykorzystać usterkę?
Usterkę może wykorzystać każdy użytkownik anonimowy, który jest w stanie dostarczyć specjalnie spreparowany komunikat w protokole TCP do usługi z włączonym protokołem SSL w systemie podlegającym usterce.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Osoba atakująca może wykorzystać tę usterkę, nawiązując komunikację z systemem za pośrednictwem usługi z włączonym protokołem SSL i wysyłając specjalnie spreparowany komunikat w protokole TCP. Odebranie takiego komunikatu może wywołać w usłudze podlegającej usterce w zagrożonym systemie awarię prowadzącą do wykonania kodu.

Osoba atakująca może także uzyskać dostęp do składnika podlegającego usterce z innego kierunku. Może ona na przykład zalogować się w systemie interakcyjnie lub za pomocą innego programu, który przekazuje parametry do składnika podlegającego usterce (lokalnie lub zdalnie).

Jakie systemy są szczególnie narażone na skutki tej usterki?
Na skutki usterki narażone są wszystkie programy, w których używany jest protokół SSL. Protokół SSL zwykle jest skojarzony z programem Internetowe usługi informacyjne za pośrednictwem protokołu HTTPS i portu 443, więc usterka dotyczy wszystkich usług na danej platformie, w których jest zaimplementowany protokół SSL. Dotyczy to w szczególności programów Internetowe usługi informacyjne 4.0, Internetowe usługi informacyjne 5.0, Internetowe usługi informacyjne 5.1, Exchange Server 5.5, Exchange Server 2000, Exchange Server 2003, Analysis Services 2000 (połączony z programem SQL Server 2000) oraz wszystkich programów innych firm, w których jest używany protokół PCT. Program SQL Server 2000 nie jest zagrożony, ponieważ połączenia w protokole PCT są w nim blokowane.

System Windows Server 2003 oraz program Internetowe usługi informacyjne 6.0 są narażone na skutki tej usterki tylko w przypadku ręcznego włączenia protokołu PCT przez administratora (nawet jeśli protokół SSL został włączony).

Na skutki tej usterki są narażone również domeny usługi Active Directory z zainstalowanym głównym urzędem certyfikacji. Kontrolery domeny w systemie Windows 2000 prowadzą bowiem automatyczne nasłuchiwanie połączeń w protokole SSL.

W jaki sposób usterka wpływa na system Windows Server 2003?
Implementacja protokołu PCT w systemie Windows Server 2003 może potencjalnie wywoływać to samo przepełnienie buforu, które występuje na innych platformach. Jednak protokół PCT jest domyślnie wyłączony. W przypadku ręcznego włączenia protokołu PCT za pomocą klucza rejestru również system Windows Server 2003 będzie narażony na skutki tej usterki. Firma Microsoft wydaje więc aktualizację zabezpieczeń systemu Windows Server 2003, która usuwa usterkę przepełnienia buforu, przy czym protokół PCT pozostaje wyłączony.

W jaki sposób działa aktualizacja?
Aktualizacja usuwa usterkę, modyfikując sposób sprawdzania poprawności informacji przekazywanych do implementacji protokołu PCT przy jednoczesnym wyłączeniu protokołu PCT.

Czy ta aktualizacja wprowadza zmiany funkcjonalne? ?

Tak. Aktualizacja usuwa przyczyny usterki w protokole PCT, jednak wyłącza również ten protokół, ponieważ nie jest on już używany i został zastąpiony protokołem SSL 3.0. Działanie to jest zgodne z ustawieniami domyślnymi systemu Windows Server 2003. Jeżeli administratorzy wymagają korzystania z protokołu PCT, mogą włączyć go za pośrednictwem klucza rejestru zgodnie z opisem w sekcji tego biuletynu dotyczącej rozwiązania problemu.

 

Usterka metapliku — CAN-2003-0906:

W sposobie przetwarzania obrazów w formatach metapliku Windows (WMF) oraz rozszerzonego metapliku (EMF) istnieje usterka przepełnienia buforu umożliwiająca zdalne wykonanie kodu w systemie podlegającym usterce. Na skutki tej usterki są narażone wszystkie programy w podlegających jej systemach, w których są przetwarzane obrazy w formacie WMF lub EMF. Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce.

Czynniki ograniczające zagrożenie w przypadku usterki metapliku — CAN-2003-0906:

• Tę usterkę może wykorzystać tylko osoba atakująca, której uda się nakłonić użytkownika do otwarcia specjalnie spreparowanego pliku lub przeglądania katalogu zawierającego taki plik. Osoba atakująca nie może w żaden sposób zmusić użytkownika do otwarcia destrukcyjnego pliku.
• W przypadku ataku przeprowadzonego za pośrednictwem sieci Web osoba atakująca musi w celu wykorzystania tych usterek udostępniać witrynę sieci Web zawierającą odpowiednią stronę, przy użyciu której może zostać przeprowadzony atak. Osoba atakująca nie może w żaden sposób zmusić użytkowników do odwiedzenia niebezpiecznej witryny sieci Web. Musi ona nakłonić ich do tego, najczęściej zachęcając do kliknięcia łącza z odwołaniem do niej.
• Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać uprawnienia identyczne z uprawnieniami użytkownika. Użytkownicy, których konta zostały skonfigurowane w taki sposób, że mają niewielkie uprawnienia w systemie, ponoszą mniejsze ryzyko niż ci, którzy pracują z uprawnieniami administracyjnymi.
• Ta usterka nie dotyczy systemu Windows Server 2003.
   

Rozwiązania problemu spowodowanego usterką metapliku — CAN-2003-0906:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.

• Czytanie wiadomości e-mail w formacie zwykłego tekstu w programie Outlook 2002 lub nowszym albo Outlook Express 6.0 z dodatkiem SP1 lub nowszym w celu zapewnienia ochrony przed atakiem przeprowadzonym za pośrednictwem wiadomości e-mail w formacie HTML

Użytkownicy programu Microsoft Outlook 2002 oraz użytkownicy programu Outlook Express 6, którzy zastosowali dodatek Service Pack 1 do pakietu Office XP lub nowszy, mogą włączyć to ustawienie, aby przeglądać wiadomości e-mail niepodpisane cyfrowo lub niezaszyfrowane tylko w formacie zwykłego tekstu.

Ustawienie to nie dotyczy wiadomości e-mail podpisanych cyfrowo oraz zaszyfrowanych. Można je czytać w formatach oryginalnych. Więcej informacji o włączaniu tego ustawienia w programie Outlook 2002 można znaleźć w artykule 307594 bazy wiedzy Microsoft Knowledge Base.

Więcej informacji o tym ustawieniu w programie Outlook Express 6 można znaleźć w artykule 291387 bazy wiedzy Microsoft Knowledge Base.

Wpływ rozwiązania:
Wiadomości e-mail przeglądane w formacie zwykłego tekstu nie zawierają obrazów, czcionek specjalnych, animacji ani innej zawartości sformatowanej. Dodatkowo spełniają one następujące warunki:

• Zmiany dotyczą okienka podglądu oraz otwartych wiadomości.
• Obrazy stają się załącznikami, nie są więc tracone.
• Wiadomość w magazynie ma wciąż postać tekstu sformatowanego lub HTML, więc model obiektu (niestandardowe rozwiązania kodowe) może wywoływać nieoczekiwane skutki.

 

Często zadawane pytania dotyczące usterki metapliku — CAN-2003-0906:

Jaki zakres obejmuje ta usterka?
Jest to usterka powodująca przepełnienie buforu . Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
Jej źródłem jest niesprawdzony bufor w przetwarzaniu obrazów w formatach metapliku Windows (WMF) oraz rozszerzonego metapliku (EMF).

Co to są formaty obrazów metaplik Windows (WMF) i rozszerzony metaplik (EMF)?
Obraz w formacie WMF ma postać 16-bitowego metapliku zawierającego zarówno informacje dotyczące grafiki wektorowej, jak i mapy bitowej. Jest on zoptymalizowany na potrzeby systemu operacyjnego Windows.

Obraz w formacie EMF ma postać 32-bitowego metapliku zawierającego zarówno informacje dotyczące grafiki wektorowej, jak i mapy bitowej. Jest to format ulepszony w stosunku do metapliku Windows, ponieważ zawiera rozszerzony zestaw funkcji.

Więcej informacji na temat typów i formatów obrazów można znaleźć w artykule 320314 bazy wiedzy Microsoft Knowledge Base. Dodatkowe informacje na temat tych formatów obrazów są również dostępne w witrynie sieci Web biblioteki MSDN .

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Na ten atak jest narażony każdy program, w którym można przetwarzać typy obrazów podlegające usterce. Oto kilka przykładów:

• Osoba atakująca może udostępniać niebezpieczną witrynę sieci Web opracowaną z myślą o wykorzystaniu tej usterki za pośrednictwem programu Internet Explorer 6, a następnie nakłonić użytkownika do przeglądania tej witryny.
• Użytkownik atakujący może także utworzyć wiadomość e-mail w formacie HTML z dołączonym do niej specjalnie spreparowanym obrazem. Ten obraz może posłużyć do wykorzystania usterki za pośrednictwem programu Outlook 2002 lub Outlook Express 6. Osoba atakująca może nakłonić użytkownika do przeglądania wiadomości e-mail w formacie HTML.
• Atakujący może osadzić specjalnie spreparowany obraz w dokumencie pakietu Office, a następnie nakłonić użytkownika do jego przeglądania.
• Osoba atakująca może dodać specjalnie spreparowany plik do lokalnego systemu plików lub udziału sieciowego i nakłonić użytkownika do przeglądania tego katalogu za pomocą programu Eksplorator Windows w systemie Windows XP.

Jakie systemy są szczególnie narażone na skutki tej usterki?
Tę usterkę może wykorzystać w podlegających jej systemach tylko osoba atakująca, której uda się nakłonić użytkownika do otwarcia specjalnie spreparowanego pliku lub przeglądania katalogu zawierającego taki plik. Osoba atakująca nie może w żaden sposób zmusić użytkownika do otwarcia destrukcyjnego pliku.

W przypadku ataku przeprowadzonego za pośrednictwem sieci Web osoba atakująca musi w celu wykorzystania tych usterek udostępniać witrynę sieci Web zawierającą odpowiednią stronę, przy użyciu której może zostać przeprowadzony atak. Osoba atakująca nie może w żaden sposób zmusić użytkowników do odwiedzenia niebezpiecznej witryny sieci Web. Musi ona nakłonić ich do tego, najczęściej zachęcając do kliknięcia łącza z odwołaniem do niej.

W jaki sposób działa aktualizacja?

Ta aktualizacja usuwa usterkę, modyfikując sposób sprawdzania poprawności obrazów, których dotyczy usterka, w systemie Windows.

Usterka Centrum pomocy i obsługi technicznej — CAN-2003-0907:

W Centrum pomocy i obsługi technicznej istnieje usterka dotycząca wykonywania kodu. Jej źródłem jest sposób sprawdzania poprawności adresów URL w protokole HCP. Osoba atakująca może wykorzystać tę usterkę, tworząc w protokole HCP destrukcyjny adres URL, który może umożliwić zdalne wykonanie kodu w przypadku odwiedzenia przez użytkownika niebezpiecznej witryny sieci Web lub przejrzenia wiadomości e-mail. Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce.

Czynniki ograniczające zagrożenie w przypadku usterki Centrum pomocy i obsługi technicznej — CAN-2003-0907:

• W przypadku ataku przeprowadzonego za pośrednictwem sieci Web osoba atakująca musi w celu wykorzystania tych usterek udostępniać witrynę sieci Web zawierającą odpowiednią stronę, przy użyciu której może zostać przeprowadzony atak. Osoba atakująca nie może w żaden sposób zmusić użytkowników do odwiedzenia niebezpiecznej witryny sieci Web. Musi ona nakłonić ich do tego, najczęściej zachęcając do kliknięcia łącza z odwołaniem do niej.
• Domyślnie w programach Outlook Express 6, Outlook 2002 oraz Outlook 2003 wiadomości e-mail w formacie HTML są otwierane w strefie witryn z ograniczeniami. Wiadomości takie są otwierane w tej strefie także w programach Outlook 98 oraz Outlook 2000 po zainstalowaniu aktualizacji zabezpieczeń poczty e-mail w programie Outlook. W strefie witryn z ograniczeniami ryzyko ataków mających na celu wykorzystanie tej usterki jest mniejsze.
  Ryzyko ataku za pośrednictwem poczty e-mail w formacie HTML można znacząco zmniejszyć, spełniając wszystkie poniższe warunki:
  • Zastosowanie aktualizacji, którą zawiera Biuletyn zabezpieczeń firmy Microsoft MS04-004
  • Korzystanie z programu Microsoft Internet Explorer 6 lub nowszego
  • Korzystanie z aktualizacji zabezpieczeń poczty e-mail w programie Microsoft Outlook, korzystanie z programu Microsoft Outlook Express 6 lub nowszego albo korzystanie z programu Microsoft Outlook 2000 z pakietem Service Pack 2 lub nowszego w konfiguracji domyślnej
• Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać uprawnienia identyczne z uprawnieniami użytkownika. Użytkownicy, których konta zostały skonfigurowane w taki sposób, że mają niewielkie uprawnienia w systemie, ponoszą mniejsze ryzyko niż ci, którzy pracują z uprawnieniami administracyjnymi.
• Ta usterka nie dotyczy systemów Windows NT 4.0 i Windows 2000.

Rozwiązania problemu spowodowanego usterką Centrum pomocy i obsługi technicznej — CAN-2003-0907:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.

• Wyrejestrowanie protokołu HCP

Aby zapobiec atakowi, wyrejestruj protokół HCP, usuwając z rejestru następujący klucz: HKEY_CLASSES_ROOT\HCP. W tym celu wykonaj następujące czynności:

• Kliknij przycisk Start , a następnie kliknij polecenie Uruchom .
• Wpisz ciąg regedit , a następnie kliknij przycisk OK .
  Zostanie uruchomiony Edytor rejestru.
• Rozwiń pozycję HKEY_CLASSES_ROOT , a następnie wyróżnij klucz HCP .
• Kliknij prawym przyciskiem myszy klucz HCP , a następnie kliknij polecenie Usuń .

Uwaga Nieprawidłowe korzystanie z Edytora rejestru może wywołać poważne problemy, których rozwiązanie może wymagać ponownego zainstalowania systemu Windows. Firma Microsoft nie może zagwarantować, że problemy wynikające z nieprawidłowego korzystania z Edytora rejestru można rozwiązać. Użytkownik korzysta z tego narzędzia na własne ryzyko.

Wpływ rozwiązania: Wyrejestrowanie protokołu HCP spowoduje przerwanie wszystkich lokalnych nieszkodliwych łączy, w których jest używany adres hcp://. Mogą na przykład przestać działać łącza w Panelu sterowania.

• Zainstalowanie aktualizacji zabezpieczeń poczty e-mail w programie Outlook w przypadku korzystania z programu Outlook 2000 z dodatkiem SP1 lub starszego

Domyślnie w programach Outlook Express 6, Outlook 2002 oraz Outlook 2003 wiadomości e-mail w formacie HTML są otwierane w strefie witryn z ograniczeniami. Wiadomości takie są otwierane w tej strefie także w programach Outlook 98 oraz Outlook 2000 po zainstalowaniu aktualizacji zabezpieczeń poczty e-mail w programie Outlook .

Klienci, którzy korzystają z dowolnego z tych produktów, ponoszą mniejsze ryzyko ataku za pośrednictwem poczty e-mail polegającego na próbie wykorzystania tej usterki, pod warunkiem, że użytkownik nie kliknie niebezpiecznego łącza w wiadomości e-mail.

• Czytanie wiadomości e-mail w formacie zwykłego tekstu w programie Outlook 2002 lub nowszym albo Outlook Express 6.0 z dodatkiem SP1 lub nowszym w celu zapewnienia ochrony przed atakiem przeprowadzonym za pośrednictwem wiadomości e-mail w formacie HTML

Użytkownicy programu Microsoft Outlook 2002 oraz użytkownicy programu Outlook Express 6, którzy zastosowali dodatek Service Pack 1 do pakietu Office XP lub nowszy, mogą włączyć to ustawienie, aby przeglądać wiadomości e-mail niepodpisane cyfrowo lub niezaszyfrowane tylko w formacie zwykłego tekstu.

Ustawienie to nie dotyczy wiadomości e-mail podpisanych cyfrowo oraz zaszyfrowanych. Można je czytać w formatach oryginalnych. Więcej informacji o włączaniu tego ustawienia w programie Outlook 2002 można znaleźć w artykule 307594 [PW1] bazy wiedzy Microsoft Knowledge Base.

Więcej informacji tym ustawieniu w programie Outlook Express 6 można znaleźć w artykule 291387 bazy wiedzy Microsoft Knowledge Base.

Wpływ rozwiązania: a:
Wiadomości e-mail przeglądane w formacie zwykłego tekstu nie zawierają obrazów, czcionek specjalnych, animacji ani innej zawartości sformatowanej. Dodatkowo spełniają one następujące warunki:

• Zmiany dotyczą okienka podglądu oraz otwartych wiadomości.
• Obrazy stają się załącznikami, nie są więc tracone.
• Wiadomość w magazynie ma wciąż postać tekstu sformatowanego lub HTML, więc model obiektu (niestandardowe rozwiązania kodowe) może wywoływać nieoczekiwane skutki.

 

Często zadawane pytania dotyczące usterki Centrum pomocy i obsługi technicznej — CAN-2003-0907:

W funkcji Centrum pomocy i obsługi technicznej istnieje usterka dotycząca zdalnego wykonania kodu. Funkcja ta jest dostarczana jako składnik systemów podlegających usterce. Jej źródłem jest sposób, w jaki Centrum pomocy i obsługi technicznej obsługuje sprawdzanie poprawności adresów URL w protokole HCP.

Jaki zakres obejmuje ta usterka?
Jest to usterka umożliwiająca zdalne wykonanie kodu. Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem. Osoba atakująca może następnie wykonywać w systemie dowolne działania, w tym instalować programy, przeglądać, zmieniać i usuwać dane lub tworzyć nowe konta z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
Jej źródłem jest proces używany w funkcji Centrum pomocy i obsługi technicznej do sprawdzania poprawności danych wejściowych.

Co to jest Centrum pomocy i obsługi technicznej?
Centrum pomocy i obsługi technicznej to funkcja systemu Windows zapewniająca pomoc na różne tematy. Dzięki niej na przykład użytkownicy mogą uzyskać informacje o funkcjach systemu Windows, pobieraniu i instalowaniu aktualizacji oprogramowania, określaniu zgodności poszczególnych urządzeń sprzętowych z systemem Windows oraz otrzymywaniu pomocy z firmy Microsoft. W łączach URL do Centrum pomocy i obsługi technicznej użytkownicy mogą korzystać z prefiksu „hcp://” zamiast „http://”.  

Co to jest protokół HCP?
Podobnie jak za pomocą protokołu HTTP można, korzystając z łączy URL, otwierać przeglądarkę sieci Web, dzięki protokołowi HCP można za pośrednictwem łączy URL otwierać funkcję Centrum pomocy i obsługi technicznej.

Na czym polega błąd w Centrum pomocy i obsługi technicznej?
Błąd występuje przy sprawdzaniu poprawności danych wejściowych.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Aby wykorzystać tę usterkę, osoba atakująca musi udostępniać niebezpieczną witrynę sieci Web, a następnie nakłonić użytkownika do jej odwiedzenia. Osoba atakująca może również utworzyć wiadomość e-mail w formacie HTML zawierającą specjalnie spreparowane łącze, a następnie zachęcić użytkownika do przejrzenia tej wiadomości i kliknięcia niebezpiecznego łącza. Jeżeli użytkownik to zrobi, może zostać otwarte okno programu Internet Explorer z wybranym przez osobę atakującą adresem URL w protokole HCP. Może ono następnie umożliwić wykonanie dowolnego kodu.

Jakie systemy są szczególnie narażone na skutki tej usterki?
Wersję Centrum pomocy i obsługi technicznej narażoną na skutki usterki zawierają systemy Windows XP i Windows Server 2003. Usterka nie dotyczy systemów Windows NT 4.0 oraz Windows 2000, ponieważ nie ma w nich funkcji Centrum pomocy i obsługi technicznej.

Mam zainstalowany program Internet Explorer w systemie Windows Server 2003. Czy ogranicza to zagrożenie tą usterką?
Nie. W systemie Windows Server 2003 program Internet Explorer domyślnie jest uruchamiany w trybie ograniczonym, znanym jako Konfiguracja zwiększonych zabezpieczeń programu Internet Explorer. Jednak dostęp do Centrum pomocy i obsługi technicznej można domyślnie uzyskać za pośrednictwem protokołu HCP. Dlatego system Windows Server 2003 jest narażony na skutki tej usterki.

Więcej informacji o funkcji Konfiguracja zwiększonych zabezpieczeń programu Internet Explorer można uzyskać w następującej witrynie sieci Web .

W jaki sposób działa aktualizacja?

Ta aktualizacja usuwa tę usterkę, modyfikując sposób sprawdzania poprawności danych przekazywanych do Centrum pomocy i obsługi technicznej.

Usterka Menedżera narzędzi — CAN-2003-0908:

W usłudze Menedżer narzędzi służącej do uruchamiania aplikacji istnieje usterka umożliwiająca podniesienie uprawnień. Zalogowany użytkownik może wymusić uruchomienie przez Menedżera narzędzi aplikacji z uprawnieniami systemowymi i przejąć całkowitą kontrolę nad systemem.

Czynniki ograniczające zagrożenie w przypadku usterki Menedżera narzędzi — CAN-2003-0908:

• Osoba atakująca musi posiadać ważne poświadczenia logowania, aby wykorzystać usterkę. Wykorzystanie tej usterki przez użytkowników anonimowych jest niemożliwe.
• Ta usterka nie dotyczy systemów Windows NT 4.0 i Windows XP oraz Windows Server 2003. W systemie Windows NT 4.0 nie zaimplementowano Menedżera narzędzi.
• W podręczniku Windows 2000 Hardening Guide (Podręcznik wzmacniania zabezpieczeń systemu Windows 2000) zaleca się wyłączenie usługi Menedżer narzędzi. W środowiskach niespełniających powyższych warunków ryzyko związane z tą usterką może być mniejsze.

Rozwiązania dotyczące usterki Menedżera narzędzi — CAN-2003-0908:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.

• Wyłączenie Menedżera narzędzi przy użyciu zasad oprogramowania we wszystkich podlegających usterce systemach, które nie wymagają tej funkcji

Ponieważ Menedżer narzędzi stanowi możliwy kierunek ataku, należy go wyłączyć za pomocą zasad ograniczeń oprogramowania w usłudze Active Directory lub w przystawce Zasady zabezpieczeń lokalnych. Nazwa procesu odpowiadającego Menedżerowi narzędzi to Utilman.exe. Poniżej znajdują się wskazówki dotyczące sposobów blokowania dostępu do tego pliku:

• Korzystanie z zasad ograniczeń oprogramowania w celu zapewnienia ochrony przed nieautoryzowanym oprogramowaniem
• Artykuł 324026  bazy wiedzy Microsoft Knowledge Base
• Ochrona systemu przed wirusami (przy użyciu zasad ograniczeń oprogramowania)
• Tworzenie nowych zasad ograniczeń oprogramowania

Uwaga Warto także zapoznać się z podręcznikiem Windows 2000 Hardening Guide (Podręcznik wzmacniania zabezpieczeń systemu Windows 2000) . Zawiera on informacje dotyczące wyłączania Menedżera narzędzi.

 

Wpływ rozwiązania:
Menedżer narzędzi umożliwia łatwe znajdowanie wielu funkcji ułatwień dostępu w systemie operacyjnym. Dostęp do niego będzie możliwy dopiero po zniesieniu ograniczeń. Aby uzyskać informacje o ręcznym uruchamianiu wielu funkcji ułatwień dostępu, odwiedź następującą witrynę sieci Web .

Często zadawane pytania dotyczące usterki Menedżera narzędzi — CAN-2003-0908:

Jaki zakres obejmuje ta usterka?
Jest to usterka umożliwiająca podniesienie uprawnień . Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
Jej źródłem jest proces używany do uruchamiania aplikacji w funkcji Menedżer narzędzi. Możliwe jest uruchamianie aplikacji za pomocą Menedżera narzędzi z uprawnieniami systemowymi.

Co to jest Menedżer narzędzi?
Menedżer narzędzi to narzędzie ułatwień dostępu umożliwiające użytkownikom sprawdzanie stanu aplikacji ułatwień dostępu, takich jak program Lupa firmy Microsoft, Narrator lub Klawiatura ekranowa, i uruchamianie ich albo zatrzymywanie.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

Kto może wykorzystać usterkę?
Aby podjąć próbę wykorzystania usterki, osoba atakująca musi mieć możliwość zalogowania się do systemu, a następnie za pomocą Menedżera narzędzi uruchomienia programu, który wyśle specjalnie spreparowany komunikat do Menedżera narzędzi.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Aby wykorzystać tę usterkę, osoba atakująca musi najpierw uruchomić funkcję Menedżer narzędzi w systemie Windows 2000, a następnie uruchomić specjalnie w tym celu opracowaną aplikację. W konfiguracji domyślnej systemu Windows 2000 Menedżer narzędzi jest zainstalowany, ale nie jest uruchomiony. Ta usterka może pozwolić osobie atakującej na uzyskanie pełnej kontroli nad systemem Windows 2000.

Jakie systemy są szczególnie narażone na skutki tej usterki?
Ta usterka dotyczy tylko systemu Windows 2000. Szczególnie zagrożone są stacje robocze i serwery terminali pracujące w tym systemie. Natomiast serwery są narażone tylko w przypadku, gdy użytkownicy o ograniczonych uprawnieniach administracyjnych mają możliwość logowania się do serwerów i uruchamiania programów. Jednak zgodnie ze sprawdzonymi metodami działania jest to stanowczo odradzane.

Korzystam z systemu Windows 2000, ale nie używam Menedżera narzędzi ani żadnych funkcji ułatwień dostępu. Czy mój system jest mimo to zagrożony?
Tak. Menedżer narzędzi jest domyślnie zainstalowany i włączony. Nie jest on jednak domyślnie uruchomiony.

Czy usterka może zostać wykorzystana przy użyciu Internetu?
Nie. Osoba atakująca musi mieć możliwość zalogowania się w określonym systemie, który ma zostać zaatakowany. Program nie może zostać załadowany ani uruchomiony zdalnie z wykorzystaniem tej usterki.

W jaki sposób działa aktualizacja?
Ta aktualizacja usuwa usterkę, modyfikując sposób uruchamiania aplikacji przez Menedżera narzędzi.

Usterka zarządzania systemem Windows —CAN-2003-0909

W sposobie tworzenia zadań dopuszczanym w systemie Windows XP istnieje usterka umożliwiająca podniesienie uprawnień. W specyficznych warunkach użytkownik nie posiadający uprawnień może utworzyć zadanie wykonywane na podstawie uprawnień systemowych i dzięki temu przejąć kontrolę nad systemem.

Czynniki ograniczające zagrożenie w przypadku usterki zarządzania systemem Windows — CAN-2003-0909:

• Osoba atakująca musi posiadać ważne poświadczenia logowania, aby wykorzystać usterkę. Wykorzystanie tej usterki przez użytkownika anonimowego jest niemożliwe.
• Ta usterka nie dotyczy systemów Windows NT 4.0 i Windows 2000 oraz Windows Server 2003.

Rozwiązania dotyczące usterki zarządzania systemem Windows — CAN-2003-0909:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.
 

Usunięcie dostawcy interfejsu zarządzania systemem Windows, którego dotyczy usterka

Administrator z lokalnymi uprawnieniami administracyjnymi może usunąć dostawcę interfejsu zarządzania systemem Windows (WMI), wstawiając do pliku tekstowego z rozszerzeniem vbs następujący skrypt, a następnie go uruchamiając.
 

Aby usunąć dostawcę interfejsu WMI, którego dotyczy usterka:

set osvc = getobject("winmgmts:root\cimv2")
set otrigger = osvc.get("__win32provider='cmdtriggerconsumer'")
otrigger.delete_

Po zainstalowaniu aktualizacji nastąpi automatyczne ponowne zarejestrowanie powyższego dostawcy interfejsu WMI, którego dotyczy usterka. Po zastosowaniu aktualizacji nie ma potrzeby wykonywania dodatkowych czynności w celu przywrócenia normalnego działania systemu.

Wpływ rozwiązania: W czasie gdy dany dostawca nie jest zarejestrowany, nie będą wykonywane zadania utworzone jako wyzwalacze zdarzeń. Więcej informacji o tych wyzwalaczach można uzyskać w następującej witrynie sieci Web.

Uwaga W rzadkich przypadkach system Windows XP może ponownie zarejestrować danego dostawcę interfejsu WMI. Na przykład jeżeli w systemie Windows XP zostanie wykryte uszkodzenie repozytorium interfejsu WMI, może zostać podjęta próba ponownego zarejestrowania odpowiedniego dostawcy.
 

Często zadawane pytania dotyczące usterki interfejsu zarządzania systemem Windows — CAN-2003-0909:

Jaki zakres obejmuje ta usterka?
Jest to usterka umożliwiająca podniesienie uprawnień . Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
W szczególnych warunkach w systemie Microsoft Windows XP może zostać utworzone zadanie wykonywane bez uprawnień systemowych.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Aby wykorzystać tę usterkę, osoba atakująca musi mieć możliwość zalogowania się do systemu i utworzenia zadania. Osoba atakująca musi dodatkowo posiadać ważne poświadczenia logowania, więc systemy zdalne nie są zagrożone.

Jakie systemy są szczególnie narażone na skutki tej usterki?
Ta usterka dotyczy tylko systemu Windows XP.

W jaki sposób działa aktualizacja?
Ta aktualizacja usuwa usterkę, uniemożliwiając użytkownikom tworzenie zdań z podniesionym poziomem uprawnień.

Czy ta aktualizacja zawiera inne zmiany funkcjonalne?
Tak. W tej aktualizacji wprowadzono klika zmian funkcjonalnych udokumentowanych poniżej:

• Przed wprowadzeniem aktualizacji użytkownicy mogli warunkowo tworzyć wyzwalacze zdarzeń za pomocą narzędzia wiersza polecenia Eventtriggers.exe bez konieczności podania nazwy użytkownika i hasła. Po jej zainstalowaniu do utworzenia wyzwalacza zależnego od zdarzenia za pomocą programu Eventttrigers.exe od użytkownika wymagane mogą być ważna nazwa i hasło. Szczegółowe informacje dotyczące opcji wiersza polecenia Eventtriggers.exe można uzyskać, odwiedzając następującą witrynę sieci Web .
• Poprzednio administratorzy mogli tworzyć wyzwalacze zdarzeń przy zatrzymanej lub wyłączonej usłudze Harmonogram zadań. Teraz Harmonogram zadań musi być uruchomiony. Aby uzyskać więcej informacji o Harmonogramie zadań, odwiedź następującą witrynę sieci Web.
• W ramach tej aktualizacji wprowadzono także nowe ograniczenie 1000 wyzwalaczy. Po zainstalowaniu tej aktualizacji istniejące wyzwalacze zdarzeń będą działać, nawet jeżeli ich liczba przekracza to ograniczenie. Nie będzie można jednak tworzyć nowych wyzwalaczy.

Podniesiono poziom uprawnień wymaganych w przypadku wyzwalaczy zdarzeń tworzonych po zainstalowaniu tej aktualizacji.

Usterka tablicy deskryptorów lokalnych — CAN-2003-0910

W interfejsie programowania służącym do tworzenia wpisów tablicy deskryptorów lokalnych (LDT) istnieje usterka umożliwiająca podniesienie uprawnień. Wpisy te zawierają informacje dotyczące segmentów pamięci. Osoba atakująca zalogowana lokalnie może utworzyć niebezpieczny wpis, uzyskując dzięki temu dostęp do pamięci chronionej i pełną kontrolę nad systemem.

Czynniki ograniczające zagrożenie w przypadku usterki tablicy deskryptorów lokalnych — CAN-2003-0910:

• Osoba atakująca musi posiadać ważne poświadczenia logowania i mieć możliwość lokalnego zalogowania się, aby wykorzystać usterkę. Nie jest możliwe wykorzystanie jej za pośrednictwem dostępu zdalnego.
• Ta usterka nie dotyczy systemów Windows XP i Windows Server 2003.

Rozwiązania problemu spowodowanego usterką tablicy deskryptorów lokalnych — CAN-2003-0910:

Brak.

Często zadawane pytania dotyczące usterki tablicy deskryptorów lokalnych — CAN-2003-0910:

Jaki zakres obejmuje ta usterka?
Jest to usterka umożliwiająca podniesienie uprawnień . Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
Jej źródłem jest interfejs programowania służący do tworzenia wpisów w tablicy LDT. Wpisy te zawierają informacje dotyczące segmentów pamięci. Osoba atakująca może utworzyć niebezpieczny wpis umożliwiający uzyskanie dostępu do chronionej pamięci jądra.

Co to jest tablica deskryptorów lokalnych?
Tablica deskryptorów lokalnych (LDT) zawiera wpisy nazywane także deskryptorami. Znajdują się w nich informacje definiujące określony segment pamięci.

Na czym polega błąd w sposobie tworzenia wpisu deskryptora w tablicy LDT?
W interfejsie programowania tworzenie przez programy wpisów deskryptorów w tablicy LDT wskazujących na chronione obszary pamięci powinno być niemożliwe.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce. Osoba atakująca może następnie wykonywać w systemie dowolne działania, w tym instalować programy, przeglądać, zmieniać i usuwać dane lub tworzyć nowe konta z pełnymi uprawnieniami.

Kto może wykorzystać usterkę?
Osoba atakująca musi mieć możliwość lokalnego zalogowania się do systemu i uruchomienia programu umożliwiającego wykorzystanie tej usterki.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Aby wykorzystać tę usterkę, osoba atakująca musi zalogować się do systemu. Osoba atakująca musi następnie uruchomić specjalnie opracowany program umożliwiający wykorzystanie usterki i potencjalnie uzyskanie pełnej kontroli nad systemem, który jej podlega.

Jakie systemy są szczególnie narażone na skutki tej usterki?
Na skutki tej usterki najbardziej narażone są stacje robocze i serwery terminali. Natomiast serwery są narażone tylko w przypadku, gdy użytkownicy o ograniczonych uprawnieniach administracyjnych mają możliwość logowania się na nich i uruchamiania programów. Jednak zgodnie ze sprawdzonymi metodami działania jest to stanowczo odradzane.

Czy usterka może zostać wykorzystana przy użyciu Internetu?
Nie. Osoba atakująca musi mieć możliwość zalogowania się w określonym systemie, który ma zostać zaatakowany. Program nie może zostać załadowany ani uruchomiony zdalnie z wykorzystaniem tej usterki.

W jaki sposób działa aktualizacja?
Ta aktualizacja usuwa usterkę, modyfikując sposób tworzenia wpisów deskryptorów w tablicy LTD.

Usterka protokołu H.323— CAN-2004-0117

W sposobie obsługi źle sformułowanych żądań w implementacji protokołu H.323 firmy Microsoft istnieje usterka dotycząca zdalnego wykonywania kodu. Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce.

Czynniki ograniczające zagrożenie w przypadku usterki protokołu H.323 — CAN-2004-0117:

• Najczęściej zagrożenie występuje, gdy uruchomiony jest program NetMeeting (w którym jest używany protokół H.323).
• Zwykle systemy, w których jest używana usługa Zapora połączenia internetowego, i które nie zawierają aplikacji działających na podstawie protokołu H.323, nie są zagrożone.
• System Windows NT 4.0 nie jest zagrożony ze strony tej usterki, chyba że administrator zainstaluje w nim ręcznie autonomiczną wersję programu NetMeeting.

Rozwiązania problemu spowodowanego usterką protokołu H.323 — CAN-2004-0117:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.

• Zablokowanie na zaporze portów TCP 1720 i TCP 1503 zarówno dla ruchu przychodzącego, jak i wychodzącego

Sprawdzone metody działania stosowane w zaporach oraz standardowe domyślne konfiguracje zapór mogą pomóc w zabezpieczeniu sieci przed atakami spoza obszaru działania przedsiębiorstwa. Zgodnie ze standardowymi zasadami działania zaleca się, aby w systemach połączonych z Internetem była otwarta jak najmniejsza liczba portów. Firma Microsoft zaleca zablokowanie całej niepożądanej komunikacji przychodzącej z Internetu. Pozwoli to zapobiec atakom przeprowadzanym za pośrednictwem innych portów.

Wpływ rozwiązania:

Zablokowanie portów 1503 i 1720 dla protokołu TCP uniemożliwi użytkownikom łączenie się z klientami usługi Internet Locator Service ( ILS ) lub innymi klientami programu NetMeeting.

Często zadawane pytania dotyczące usterki protokołu H.323 — CAN-2004-0117:

Jaki zakres obejmuje ta usterka?
Jest to usterka powodująca przepełnienie buforu . Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
Jej źródłem są niesprawdzone bufory w implementacji protokołu H.323 firmy Microsoft.

Co to jest protokół H.323?
Protokół H.323 to standard ITU określający sposób wymiany informacji między komputerami PC, sprzętem i usługami multimedialnymi w sieciach niezapewniających gwarantowanego poziomu usług, takimi jak Internet. Terminale i sprzęt obsługujące protokół H.323 mogą przetwarzać wideo, głos, dane lub dowolną kombinację tych elementów w czasie rzeczywistym. Produkty, w których do przetwarzania zawartości audio i wideo jest używany protokół H.323, umożliwiają użytkownikom łączenie się i wymianę informacji za pośrednictwem Internetu, analogicznie do możliwości komunikowania się między osobami korzystającymi z różnych marek i modeli telefonów.

W których aplikacjach podlegających usterce jest używany protokół H.323?
Protokół H.323 został zaimplementowany w różnych aplikacjach i składnikach systemów operacyjnych firmy Microsoft. Problem może dotyczyć systemów z jedną lub więcej następujących usług lub aplikacji:

• Aplikacje działające w interfejsie TAPI (Telephony Application Programming Interface)
• Program NetMeeting
• Zapora połączenia internetowego ( ICF )
• Udostępnianie połączenia internetowego
• Usługa Routing i dostęp zdalny firmy Microsoft

Co to jest interfejs TAPI?
Interfejs Windows TAPI (Telephony Applications Programming Interface) jest składnikiem otwartej architektury systemowej systemu Windows. Za pomocą interfejsu TAPI deweloperzy mogą tworzyć aplikacje na potrzeby telefonii. Interfejs TAPI to branżowy standard otwarty, zdefiniowany na podstawie dużej ilości informacji stale napływających od członków społeczności informatycznej. Interfejs TAPI jest niezależny od sprzętu, więc aplikacje zgodne z nim można uruchamiać na różnych komputerach PC i w sprzęcie telefonicznym. Obsługuje on różnorodne usługi sieciowe. W interfejsie TAPI zaimplementowano protokół H.323. Aplikacje korzystające z protokołu TAPI są zagrożone skutkami problemu opisanego w tym biuletynie.

Czy aplikacje działające w protokole H.323 w interfejsie TAPI są instalowane domyślnie w którymś z systemów podlegających usterce?
Program Telefon firmy Microsoft to jedyna aplikacja oparta na interfejsie TAPI, korzystająca protokołu H.323, która jest instalowana domyślnie w systemach Windows 2000 i Windows XP. Funkcje protokołu H.323 w interfejsie TAPI mogą być włączone i używane w aplikacjach innych producentów.

Uwaga System Windows Server 2003 nie zawiera programu Telefon firmy Microsoft.

Co to jest program NetMeeting?
Program NetMeeting to wszechstronne rozwiązanie do obsługi konferencji w Internecie i wewnątrz przedsiębiorstwa dla wszystkich użytkowników systemu Windows. Umożliwia on realizację konferencji z wymianą danych w systemie rozproszonym, rozmów tekstowych, udostępnia tablice i pozwala na transfer plików oraz przekazywanie zawartości audio i wideo w systemie „punkt-punkt”. W programie NetMeeting zaimplementowano protokół H.323 — jest on instalowany domyślnie, ale nie jest domyślnie włączony we wszystkich systemach podlegających usterce.

Korzystam z programu NetMeeting, ale używam usług Udostępnianie połączenia internetowego i Routing i dostęp zdalny. Czy mój system jest zagrożony?
Tak. Na skutki tej usterki są narażeni użytkownicy korzystający z programu NetMeeting.

Korzystam z programu NetMeeting bez połączenia z serwerem usługi ILS lub w sesji połączenia równorzędnego programu NetMeeting. Czy mój system jest zagrożony?
Tak, chyba że w tym systemie są zablokowane porty 1720 i 1503 w protokole TCP.

W moim systemie nigdy nie zainstalowano autonomicznej wersji programu NetMeeting. Czy jest on zagrożony?
Program NetMeeting stanowi składnik systemów Windows 2000, Windows XP oraz Windows Server 2003. Ta aktualizacja dotyczy wersji programu NetMeeting stanowiących część tych systemów operacyjnych. Program NetMeeting jest również dostępny jako autonomiczny plik do pobrania na potrzeby innych systemów operacyjnych oraz wchodzi w skład innych aplikacji. W tej formie również podlega on skutkom tej usterki. Użytkownicy, którzy zainstalowali autonomiczną wersję programu NetMeeting, powinni zainstalować jego zaktualizowaną wersję, niezagrożoną skutkami tej usterki. Aby pobrać wersję zaktualizowaną, odwiedź następującą witrynę sieci Web .

Czy systemy operacyjne Windows 98, Windows 98 Second Edition i Windows Millennium Edition podlegają tej usterce w stopniu krytycznym?
Nie. Te systemy operacyjne mogą wprawdzie zawierać program NetMeeting, ale w ich przypadku ta usterka nie stanowi krytycznego zagrożenia. Aby zlikwidować zagrożenie skutkami tej usterki, można pobrać i zainstalować autonomiczną wersję programu NetMeeting dla danego systemu operacyjnego. Jest ona dostępna w następującej witrynie sieci Web . Więcej informacji o wskaźnikach ważności można znaleźć w następującej witrynie sieci Web .

Co to jest Zapora połączenia internetowego?
Usługa Zapora połączenia internetowego (ICF) to funkcja zapewniająca podstawową ochronę przed działaniami intruzów w systemach Windows XP i Windows Server 2003. Została opracowana z myślą o systemach bezpośrednio połączonych z siecią publiczną lub działających w sieci domowej z usługą Udostępnianie połączenia internetowego.

Korzystam tylko z usługi Zapora połączenia internetowego w systemie Windows XP lub Windows Server 2003. Czy mój system jest zagrożony?
Nie automatycznie. Jednak systemy użytkowników korzystających z programu NetMeeting, nawet przy włączonej usłudze ICF, mogą być zagrożone skutkami tej usterki. W programie NetMeeting są otwierane porty w usłudze ICF, co może wywoływać zagrożenie.

Skutkami tej usterki zagrożone są również systemy, w których ręcznie otwarto porty 1720 i 1503 w protokole TCP. Poza tym aplikacje innych firm mogą otworzyć porty w usłudze ICF w odpowiedzi na przypływ informacji w protokole H.323.

Co to jest Udostępnianie połączenia internetowego?
Użytkownicy usługi Udostępnianie połączenia internetowego mogą połączyć jeden system z Internetem i udostępnić usługę internetową kilku innym systemom w sieci działającej w domu lub w małym biurze. Kreator konfiguracji sieci w systemie Windows XP automatycznie konfiguruje wszystkie ustawienia sieci wymagane do udostępniania jednego połączenia internetowego wszystkim systemom w sieci. W każdym z tych systemów można korzystać z programów, takich jak Internet Explorer i Outlook Express, w taki sposób, jakby były one bezpośrednio połączone z Internetem.

Udostępnianie połączenia internetowego to funkcja systemów Windows 2000, Windows XP oraz Windows Server 2003, ale w żadnym z systemów podlegających usterce nie jest ona domyślnie włączona.

W moim systemie funkcja Udostępnianie połączenia internetowego jest włączona, ale nie włączono usługi Zapora połączenia internetowego. Czy ten system jest zagrożony?
Tak. Usługa Udostępnianie połączenia internetowego włącza porty, które mogą umożliwić zaatakowanie danego systemu przez użytkownika wykorzystującego omawianą usterkę.

Jeżeli uruchomiona jest usługa ICF i Udostępnianie połączenia internetowego, atak taki nie może się powieść, chyba że użytkownik korzysta również z programu NetMeeting lub ręcznie otworzy port 1503 albo port 1720.

Co to jest Usługa Routing i dostęp zdalny firmy Microsoft?
Usługa Routing i dostęp zdalny firmy Microsoft umożliwia komputerom pracującym pod kontrolą systemu Windows 2000 Server lub Windows Server 2003 funkcjonowanie w roli routerów sieciowych. Dostęp zdalny umożliwia użytkownikom systemów zdalnych tworzenie połączenia logicznego z siecią organizacji lub z Internetem. Usługa Routing i dostęp zdalny firmy Microsoft obsługuje żądania w protokole H.323 rozsyłane do sieci lub z sieci.

Korzystam z usługi Routing i dostęp zdalny firmy Microsoft w systemie Windows 2000. Czy mój system jest zagrożony?
Tak. W systemie Windows 2000 usługa Routing i dostęp zdalny firmy Microsoft jest używana domyślnie wraz z funkcją Translator adresów sieciowych (NAT), co powoduje zagrożenie usterką. Administrator może jednak wyłączyć funkcję obsługi protokołu H.323 za pomocą polecenia netsh . Czynności te zostały szczegółowo opisane w artykule 838834 bazy wiedzy Microsoft Knowledge Base.

Uwaga System, którego konfiguracja przewiduje uruchamianie usługi innej niż Routing i dostęp zdalny firmy Microsoft, bez translatora NAT (na przykład wirtualnej sieci prywatnej, protokołu OSPF lub protokołu RIP — Routing Information Protocol), nie jest zagrożony w związku z tą usterką.

Korzystam z usługi Routing i dostęp zdalny firmy Microsoft w systemie Windows Server 2003. Czy mój system jest zagrożony?
Nie. W usłudze Routing i dostęp zdalny w systemie Windows Server 2003 funkcja obsługi protokołu H.323 nie jest domyślnie włączona. Administrator może ją jednak włączyć, co spowoduje wystąpienie zagrożenia skutkami omawianej usterki.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

Kto może wykorzystać usterkę?
Użytkownik anonimowy, który ma możliwość dostarczenia do dowolnego z podlegających usterce systemów specjalnie spreparowanego żądania w protokole H.323.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Osoba atakująca może wykorzystać usterkę, lokalizując użytkowników korzystających z programu NetMeeting, z programu w interfejsie TAPI opartego na protokole H.323 lub obydwu tych składników.

Osoba atakująca może także odjąć próbę wykorzystania usterki za pośrednictwem usługi Udostępnianie połączenia internetowego, wykonując zdalnie kod w systemach, w których ją włączono. Jeżeli włączone są usługi ICF oraz Udostępnianie połączenia internetowego, ten atak jest niemożliwy, chyba że dany użytkownik korzysta również z programu NetMeeting.

Jakie systemy są szczególnie narażone na skutki tej usterki?
Są to systemy z programem NetMeeting lub programem opartym na protokole H.323.

W jaki sposób działa aktualizacja?
Ta aktualizacja modyfikuje sposób przetwarzania specjalnie spreparowanych żądań w protokole H.323 w systemach podlegających usterce.

Usterka wirtualnej maszyny DOS — CAN-2004-0118:

W systemie operacyjnym obsługującym podsystem wirtualnej maszyny DOS (VDM) istnieje usterka umożliwiająca podniesienie uprawnień. Ta usterka może pozwolić zalogowanemu użytkownikowi na uzyskanie pełnej kontroli nad systemem.

Czynniki ograniczające zagrożenie w przypadku usterki wirtualnej maszyny DOS — CAN-2004-0118:

• Osoba atakująca musi posiadać ważne poświadczenia logowania i mieć możliwość lokalnego zalogowania się, aby wykorzystać usterkę. Nie jest możliwe wykorzystanie jej za pośrednictwem dostępu zdalnego.
• Ta usterka nie dotyczy systemów Windows XP i Windows Server 2003.

Rozwiązania dotyczące usterki wirtualnej maszyny DOS — CAN-2004-0118:

Brak.

Często zadawane pytania dotyczące usterki Wirtualnej maszyny DOS — CAN-2004-0118:

Jaki zakres obejmuje ta usterka?
Jest to usterka umożliwiająca podniesienie uprawnień . Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami. Aby wykorzystać tę usterkę, osoba atakująca musi mieć możliwość zalogowania się do systemu i uruchomienia programu.

 W jaki sposób powstaje usterka?
Składnik systemu operacyjnego obsługujący podsystem maszyny VDM można wykorzystać do uzyskania dostępu do chronionej pamięci jądra. W pewnych okolicznościach niektóre uprzywilejowane funkcje systemu operacyjnego mogą nie przeprowadzać sprawdzania poprawności struktur systemu i umożliwić osobie atakującej wykonanie niebezpiecznego kodu z uprawnieniami systemowymi.

Co to jest podsystem wirtualnej maszyny DOS?
Wirtualna maszyna DOS (VDM) to środowisko emulujące system MS-DOS i oparte na nim systemy Windows w systemach operacyjnych zbudowanych na podstawie systemu Windows NT. Środowisko VDM jest tworzone po każdym uruchomieniu aplikacji działającej pod kontrolą systemu MS-DOS w systemie operacyjnym opartym na systemie Windows NT.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

Kto może wykorzystać usterkę?
Aby wykorzystać tę usterkę, osoba atakująca musi mieć możliwość zalogowania się do danego systemu i uruchomienia programu.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Aby wykorzystać tę usterkę, osoba atakująca musi zalogować się do systemu. Użytkownik atakujący musi następnie uruchomić specjalnie opracowaną aplikację umożliwiającą wykorzystanie usterki i uzyskanie w ten sposób pełnej kontroli nad systemem, który jej podlega.

Jakie systemy są szczególnie narażone na skutki tej usterki?
Na skutki tej usterki najbardziej narażone są stacje robocze i serwery terminali. Natomiast serwery są narażone tylko w przypadku, gdy użytkownicy o ograniczonych uprawnieniach administracyjnych mają możliwość logowania się do serwerów i uruchamiania programów. Jednak zgodnie ze sprawdzonymi metodami działania jest to stanowczo odradzane.

Czy usterka może zostać wykorzystana przy użyciu Internetu?
Nie. Osoba atakująca musi mieć możliwość zalogowania się w określonym systemie, który ma zostać zaatakowany. Program nie może zostać załadowany ani uruchomiony zdalnie z wykorzystaniem tej usterki.

W jaki sposób działa aktualizacja?
Ta aktualizacja modyfikuje sposób sprawdzania poprawności danych w systemie Windows w przypadku odwołań do lokalizacji w pamięci przydzielonych do środowiska VDM.

Usterka negocjowania dostawcy SSP — CAN-2004-0119

W interfejsie negocjowania dostawcy oprogramowania zabezpieczającego (SSP) istnieje usterka przepełnienia buforu, która może umożliwić zdalne wykonanie kodu. Źródłem tej usterki jest sposób sprawdzania poprawności wartości używany przy wybieraniu protokołu uwierzytelniania w interfejsie negocjowania dostawcy SSP. Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem jej podlegającym.

Czynniki ograniczające zagrożenie w przypadku usterki negocjowania dostawcy SSP — CAN-2004-0119:

• W większości przypadków usterka ta jest wykorzystywana do ataków typu odmowa usługi.
• Interfejs negocjowania dostawcy SSP jest także domyślnie włączony w programie Internetowe usługi informacyjne (IIS). Jednak program ten jest domyślnie instalowany tylko w systemach Windows 2000 (IIS 5.0) oraz Windows Server 2003 Web Server Edition (IIS 6.0).
• Ta usterka nie dotyczy systemu Windows NT 4.0.

Rozwiązania dotyczące usterki negocjowania dostawcy SSP — CAN-2004-0119:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.

• Rozwiązania dotyczące ataków za pośrednictwem programu Internetowe usługi informacyjne
• Wyłączenie zintegrowanego uwierzytelniania systemu Windows

Administratorzy mogą zmniejszyć ryzyko ataku za pośrednictwem programu Internetowe usługi informacyjne, wyłączając funkcję Zintegrowane uwierzytelnianie systemu Windows . Informacje o wyłączaniu i włączaniu tej opcji są dostępne w następującej witrynie sieci Web .

Wpływ rozwiązania: Przestaną poprawnie funkcjonować wszystkie aplikacje, których działanie jest oparte na programie IIS i które wymagają uwierzytelniania typu wezwanie/odpowiedź (NTLM) w systemie Windows NT lub uwierzytelniania w protokole Kerberos.

 

• Wyłączenie interfejsu negocjowania dostawcy SSP

Administratorzy mogą po prostu wyłączyć negocjowanie dostawcy SSP (powodujące stałe włączenie uwierzytelniania NTLM), postępując zgodnie z instrukcjami w artykule 215383 bazy wiedzy Microsoft Knowledge Base. Jego streszczenie jest dostępne poniżej:

Aby wyłączyć negocjowanie (i w ten sposób uniemożliwić uwierzytelnianie w protokole Kerberos), należy wpisać następujące polecenie. Należy zwrócić uwagę, że ciąg „NTLM” musi być wpisany wielkimi literami w celu uniknięcia niepożądanych skutków:

cscript adsutil.vbs set w3svc/NTAuthenticationProviders “NTLM”

Wpływ rozwiązania: Przestaną poprawnie funkcjonować wszystkie aplikacje, których działanie jest oparte na programie IIS i które wymagają uwierzytelniania w protokole Kerberos.

Często zadawane pytania dotyczące usterki negocjowania dostawcy SSP — CAN-2004-0119:

Jaki zakres obejmuje ta usterka?
Jest to usterka powodująca przepełnienie buforu . Jednak najbardziej prawdopodobne jest przeprowadzenie za jej pośrednictwem ataku typu odmowa usługi. Osoba atakująca, która pomyślnie wykorzysta tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce i wykonywać w tym systemie działania, takie jak instalowanie programów, wyświetlanie, modyfikowanie i usuwanie danych oraz tworzenie nowych kont z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
Jej źródłem jest niesprawdzony bufor w interfejsie negocjowania dostawcy SSP.

Co to jest interfejs negocjowania dostawcy oprogramowania zabezpieczającego?
System Windows obsługuje wiele różnych typów uwierzytelniania, więc metodę uwierzytelniania klienta łączącego się z serwerem należy negocjować. Interfejs negocjowania dostawcy SSP jest składnikiem systemu operacyjnego realizującym tę funkcję. Jest on oparty na mechanizmie SPNEGO (Simple and Protected GSS-API Negotiate Mechanism) zdefiniowanym w specyfikacji RFC 2478 . Aby uzyskać więcej informacji o metodach uwierzytelniania w systemie Windows, odwiedź następującą witrynę sieci Web .

Dlaczego zagrożony jest program Internetowe usługi informacyjne?
Interfejs negocjowania dostawcy SSP jest również domyślnie włączony w programie Internetowe usługi informacyjne (IIS). Dzięki temu w tym programie mogą być używane protokoły uwierzytelniania zapewniające bezpieczny dostęp do zasobów, takie jak NTLM lub Kerberos. Aby uzyskać więcej informacji o metodach uwierzytelniania obsługiwanych w programie IIS, odwiedź następującą witrynę sieci Web .

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Chociaż największe jest prawdopodobieństwo przeprowadzenia tylko ataku typu odmowa usługi, osoba atakująca, której uda się ją wykorzystać, może przejąć całkowitą kontrolę nad systemem podlegającym usterce z możliwością instalowania programów, przeglądania, zmieniania lub usuwania danych bądź tworzenia nowych kont z pełnymi uprawnieniami. Jeżeli użytkownikowi atakującemu uda się spowodować, że system podlegający usterce przestanie odpowiadać, administrator może przywrócić jego normalne funkcjonowanie, ponownie go uruchamiając. Jednak do czasu zainstalowania aktualizacji system ten pozostanie narażony na nowe ataki typu odmowa usługi.

Kto może wykorzystać usterkę?
Usterkę może wykorzystać każdy użytkownik anonimowy, który jest w stanie dostarczyć specjalnie spreparowany komunikat do systemu podlegającemu usterce. Ta funkcja jest włączona domyślnie we wszystkich systemach podlegających usterce, więc może ją wykorzystać dowolny użytkownik, któremu uda się nawiązać połączenie z takim systemem.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Osoba atakująca może starać się wykorzystać tę usterkę, tworząc specjalnie spreparowany komunikat sieciowy i wysyłając go do systemu podlegającemu usterce.

Osoba atakująca może także uzyskać dostęp do składnika podlegającego usterce z innego kierunku. Może ona na przykład zalogować się w systemie interakcyjnie lub za pomocą innego programu, który przekazuje parametry do składnika podlegającego usterce (lokalnie lub zdalnie).

Jakie systemy są szczególnie narażone na skutki tej usterki?
Przy ustawieniach domyślnych wszystkie systemy podlegające usterce są narażone na jej skutki. Dodatkowo zagrożone są systemy, w których są używane programy Internetowe usługi informacyjne 5.0, Internetowe usługi informacyjne 5.1 i Internetowe usługi informacyjne 6.0 — za pośrednictwem portów nasłuchujących.

W jaki sposób działa aktualizacja?

Aktualizacja usuwa usterkę, modyfikując sposób sprawdzania poprawności długości komunikatów w interfejsie negocjowania dostawcy SSP przed przekazaniem ich do przydzielonego buforu.

Usterka protokołu SSL— CAN-2004-0120:

W bibliotece protokołu SSL (Secure Sockets Layer) firmy Microsoft istnieje usterka typu odmowa usługi. Źródłem tej usterki jest sposób przetwarzania źle sformułowanych komunikatów SSL w bibliotece protokołu SSL firmy Microsoft. Usterka ta może spowodować, że system, który jej podlega, przestanie akceptować połączenia w protokole SSL w systemach Windows 2000 i Windows XP. W systemie Windows Server 2003 może ona wywołać automatyczne ponowne uruchomienie systemu.

Czynniki ograniczające zagrożenie w przypadku usterki protokołu SSL — CAN-2004-0120:

• Dotyczy ona tylko systemów z włączonym protokołem SSL, zazwyczaj tylko serwerowych. W żadnym z systemów, których dotyczy problem, obsługa protokołu SSL nie jest domyślnie włączona. Jednak protokół SSL jest zazwyczaj używany na serwerach sieci Web do obsługi programów związanych z handlem elektronicznym, bankowością elektroniczną i innych aplikacji wymagających zabezpieczeń komunikacji.
• Sprawdzone metody działania stosowane w zaporach oraz standardowe domyślne konfiguracje zapór mogą pomóc w zabezpieczeniu sieci przed atakami spoza obszaru działania przedsiębiorstwa. Zgodnie ze standardowymi zasadami działania zaleca się, aby w systemach połączonych z Internetem była otwarta jak najmniejsza liczba portów.
• Ta usterka nie dotyczy systemu Windows NT 4.0.

Rozwiązania problemu spowodowanego usterką protokołu SSL — CAN-2004-0120:

Firma Microsoft przetestowała następujące rozwiązania. Nie spowodują one wyeliminowania samej usterki, przyczynią się jednak do zablokowania znanych kierunków ataków. Jeśli określone rozwiązanie powoduje ograniczenie funkcjonalności, jego opis opatrzono odpowiednią informacją.

• Zablokowanie portów 443 i 636 na zaporze
  Port 443 służy do odbierania ruchu w protokole SSL. Port 636 obsługuje połączenia w protokole LDAP SSL (LDAPS). Zablokowanie tych portów na zaporze może pomóc w zabezpieczeniu systemów chronionych zaporą przed próbami wykorzystania usterki opisanej w tym biuletynie. Usterka może zostać również wykorzystana przy użyciu innych portów. Jednak wymienione porty są najczęstszym kierunkiem ataku. Firma Microsoft zaleca zablokowanie całej niepożądanej komunikacji przychodzącej z Internetu. Pozwoli to zapobiec atakom przeprowadzanym za pośrednictwem innych portów.

Wpływ rozwiązania: Jeżeli port 443 lub 636 jest zablokowany, systemy podlegające usterce przestaną akceptować połączenia zewnętrzne w protokołach SSL lub LDAPS.

Często zadawane pytania dotyczące usterki protokołu SSL — CAN-2004-0120:

Jaki zakres obejmuje ta usterka?
Usterka typu odmowa usługi w bibliotece protokołu SSL (Secure Sockets Layer) firmy Microsoft dotyczy sposobu przetwarzania specjalnie spreparowanych komunikatów w protokole SSL. Usterka ta może spowodować, że system, który jej podlega, przestanie akceptować połączenia w protokole SSL w systemach Windows 2000 i Windows XP. W systemie Windows Server 2003 może ona wywołać automatyczne ponowne uruchomienie komputera.
Należy zwrócić uwagę, że usterka typu odmowa usługi nie umożliwia osobom atakującym wykonywania kodu ani podnoszenia poziomu uprawnień. Może ona jednak spowodować, że system, który jej podlega, przestanie akceptować żądania.

W jaki sposób powstaje usterka?
Jej źródłem jest proces, z którego korzysta biblioteka protokołu SSL do sprawdzania danych wejściowych w komunikatach.

Co to jest biblioteka protokołu Secure Sockets Layer firmy Microsoft?
Biblioteka protokołu Secure Sockets Layer firmy Microsoft umożliwia obsługę wielu protokołów zabezpieczonej komunikacji . Są to między innymi protokoły TLS (Transport Layer Security) 1.0, SSL (Secure Sockets Layer) 3.0 oraz starsze i rzadko używane SSL (Secure Sockets Layer) 2.0 i PCT (Private Communication Technology) 1.0.
Zapewniają one realizację zaszyfrowanego połączenia między serwerem a systemem klienckim. Protokół SSL umożliwia ochronę informacji przesyłanych przez użytkowników w sieciach publicznych, takich jak Internet. Jego obsługa wymaga zainstalowania na serwerze certyfikatu SSL. Więcej informacji o protokole SSL można znaleźć w artykule 245152 bazy wiedzy Microsoft Knowledge Base.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
W systemach Windows 2000 i Windows XP osoba atakująca, której udało się wykorzystać tę usterkę, może spowodować, że system, który jej podlega, przestanie akceptować połączenia w protokole SSL. W systemie Windows Server 2003 użytkownik atakujący może wywołać automatyczne ponowne uruchomienie systemu. W tym czasie system podlegający usterce nie będzie mógł odpowiadać na żądania uwierzytelniania. Po ponownym uruchomieniu w systemie podlegającym usterce zostanie przywrócony normalny tryb pracy. Jednak do czasu zainstalowania aktualizacji będzie on narażony na nowe ataki typu odmowa usługi.

Jeżeli osoba atakująca wykorzysta tę usterkę, może zostać zarejestrowany błąd systemu. W dzienniku zdarzeń systemowych może pojawić się wpis dotyczący zdarzenia o identyfikatorze 5000. Odpowiada mu wartość SymbolicName „SPMEVENT_PACKAGE_FAULT” i następujący opis:

„Pakiet zabezpieczeń NAZWA wygenerował wyjątek”, gdzie zmienna NAZWA może przyjąć wartości „„Schannel” lub „Microsoft Unified Security Protocol Provider”.

 

Kto może wykorzystać usterkę?
Usterkę może wykorzystać każdy użytkownik anonimowy, który jest w stanie dostarczyć specjalnie spreparowany komunikat w protokole SSL do systemu podlegającego usterce.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Osoba atakująca może wykorzystać tę usterkę, tworząc program, który komunikuje się z serwerem podlegającym usterce za pośrednictwem włączonej usługi SSL. Program ten wysyła pewnego rodzaju specjalnie spreparowany komunikat w protokole TCP. Odebranie takiego komunikatu może wywołać w systemie podlegającym usterce awarię typu odmowa usługi.

Osoba atakująca może także uzyskać dostęp do składnika podlegającego usterce z innego kierunku. Może ona na przykład zalogować się w systemie interakcyjnie lub za pomocą innego programu, który przekazuje parametry do składnika podlegającego usterce (lokalnie lub zdalnie).

Jakie systemy są szczególnie narażone na skutki tej usterki?
Zagrożone są wszystkie systemy, w których jest włączony protokół SSL. Protokół SSL zwykle jest skojarzony z programem Internetowe usługi informacyjne za pośrednictwem protokołu HTTPS i portu 443, więc usterka dotyczy wszystkich usług na danej platformie, w których jest zaimplementowany protokół SSL. Dotyczy to w szczególności programów Internetowe usługi informacyjne 4.0, Internetowe usługi informacyjne 5.0, Internetowe usługi informacyjne 5.1, Exchange Server 5.5, Exchange Server 2000, Exchange Server 2003, Analysis Services 2000 (połączony z programem SQL Server 2000) oraz wszystkich programów innych firm, w których jest używany protokół SSL.

Na skutki tej usterki narażone są również kontrolery domeny systemu Windows 2000 w domenie usługi Active Directory z zainstalowanym głównym urzędem certyfikacji. Prowadzą bowiem automatyczne nasłuchiwanie połączeń w protokole SSL.

W jaki sposób działa aktualizacja?
Aktualizacja usuwa usterkę, modyfikując sposób obsługi specjalnie spreparowanych komunikatów w protokole SSL.

Usterka notacji ASN.1 „podwójnego zwalniania” — CAN-2004-0123

W bibliotece notacji ASN.1 firmy Microsoft istnieje usterka umożliwiająca zdalne wykonywanie kodu. Jej źródłem jest stan „podwójnego zwolnienia pamięci” w bibliotece notacji ASN.1 firmy Microsoft, który może doprowadzić do uszkodzenia zawartości pamięci w systemie podlegającym usterce. Osoba atakująca, której uda się wykorzystać tę usterkę, może uzyskać pełną kontrolę nad systemem podlegającym usterce. W najbardziej prawdopodobnym scenariuszu ataku ta usterka może spowodować jedynie odmowę usługi.

Czynniki ograniczające zagrożenie w przypadku usterki notacji ASN.1 „podwójnego zwalniania” — CAN2004-0123:

• Ze względu na unikatowe układy struktur pamięci w różnych systemach podlegających usterce wykorzystanie jej na masową skalę byłoby dość trudne.

Usterka usługi Winlogon — CAN-2003-0806:

Brak.

Usterka usługi Winlogon — CAN-2003-0806:

Jaki zakres obejmuje ta usterka?
Usterka ta może umożliwić zdalne wykonanie kodu, ale najbardziej prawdopodobny jest w jej przypadku atak typu odmowa usługi . Jednak osoba atakująca, której uda się ją wykorzystać do wykonania kodu, może zdalnie przejąć całkowitą kontrolę nad systemem podlegającym usterce z możliwością instalowania programów, przeglądania, zmieniania lub usuwania danych albo tworzenia nowych kont z pełnymi uprawnieniami.

W jaki sposób powstaje usterka?
W bibliotece notacji ASN.1 firmy Microsoft istnieje możliwość wystąpienia stanu „podwójnego zwolnienia pamięci”, który może doprowadzić do uszkodzenia zawartości pamięci.

Co to jest stan „podwójnego zwolnienia”?
Osoba atakująca może w systemie podlegającym usterce spowodować sytuację, w której przy przetwarzaniu specjalnie spreparowanego komunikatu podejmowana jest wielokrotnie próba zwolnienia pamięci, która została już zwolniona. Zwolnienie pamięci, którą już zwolniono, może doprowadzić do jej uszkodzenia. Osoba atakująca może dodać do pamięci dowolny kod wykonywany po wystąpieniu uszkodzenia. Kod zostanie wykonany na poziomie uprawnień systemowych.

Zazwyczaj usterka ta jest wykorzystywana do przeprowadzenia ataku typu odmowa usługi. W ograniczonym zakresie może ona jednak umożliwić wykonanie kodu. Ze względu na unikatowe układy pamięci w różnych systemach podlegających usterce wykorzystanie jej na masową skalę byłoby dość trudne.

Co to jest notacja ASN.1?
Notacja ASN.1 (Abstract Syntax Notation 1) to język służący do definiowania standardów. Korzysta się z niej w wielu aplikacjach i na różnych urządzeniach w branży technicznej w celu umożliwienia wymiany danych między różnymi platformami. ASN.1 nie ma związku z żadnym określonym standardem, metodą kodowania, językiem programowania ani platformą sprzętową. Więcej informacji o notacji ASN.1 można znaleźć w artykule 252648 [PW1] bazy wiedzy Microsoft Knowledge Base.

Jakie mogą być skutki wykorzystania tej usterki przez osobę atakującą?
Osoba atakująca, której uda się ją wykorzystać do wykonania kodu, może przejąć całkowitą kontrolę nad systemem podlegającym usterce z możliwością instalowania programów, przeglądania, zmieniania lub usuwania danych lub tworzenia nowych kont z pełnymi uprawnieniami.

W najbardziej prawdopodobnym scenariuszu ataku osoba atakująca może przeprowadzić jedynie atak typu odmowa usługi . Administrator może przywrócić normalne funkcjonowanie systemu przez ponowne uruchomienie go.

W jaki sposób osoba atakująca może wykorzystać tę usterkę?
Ponieważ ASN.1 jest standardem dla wielu aplikacji i urządzeń, istnieje bardzo dużo potencjalnych kierunków ataku. Aby wykorzystać tę usterkę, osoba atakująca musi wymusić zdekodowanie w systemie specjalnie opracowanych danych w notacji ASN.1. Na przykład użytkownik atakujący może za pomocą protokołów uwierzytelniania opartych na notacji ASN.1 utworzyć specjalnie spreparowane żądanie uwierzytelnienia, które umożliwi wykorzystanie tej usterki.

Jakie systemy są szczególnie narażone na skutki tej usterki?
Serwery są bardziej narażone na ryzyko wykorzystania tej usterki niż systemy klienckie — ze względu na większe prawdopodobieństwo istnienia procesów dekodujących dane ASN.1 na serwerach.

Czy systemy operacyjne Windows 98, Windows 98 Second Edition i Windows Millennium Edition podlegają tej usterce w stopniu krytycznym?

Nie. Chociaż system Windows Millennium Edition zawiera składnik podlegający usterce, zagrożenie nie jest krytyczne. Aby uzyskać więcej informacji o wskaźnikach ważności, odwiedź następującą witrynę sieci Web .

W jaki sposób działa aktualizacja?
Aktualizacja usuwa usterkę, modyfikując sposób obsługi specjalnie spreparowanych danych w bibliotece notacji ASN.1.

Jaki jest związek między tą usterką a usterką poprawioną przez aktualizację MS04-007?

Obie usterki dotyczą składnika ASN.1. Niniejsza aktualizacja eliminuje nowo dostrzeżoną usterkę, która nie została rozwiązana w aktualizacji MS04-007. Aktualizacja MS04-007 w pełni chroni system przed usterkami omówionymi w towarzyszącym jej biuletynie, a niniejsza zawiera wszystkie aktualizacje z biuletynu MS04-007 i zastępuje je. W przypadku zainstalowania niniejszej aktualizacji nie ma potrzeby instalowania aktualizacji MS04-007.

Informacje o aktualizacji zabezpieczeń

Platformy i warunki wstępne instalacji:

Informacje dotyczące określonej aktualizacji zabezpieczeń dla danej platformy można uzyskać, klikając odpowiednie łącze:

Windows Server 2003 (wszystkie wersje)

Warunki wstępne

Ta aktualizacja zabezpieczeń wymaga pełnej handlowej wersji programu Windows Server 2003.

Uwzględnianie w przyszłych dodatkach Service Pack:
Aktualizacje dotyczące tych problemów będzie zawierać system Windows Server 2003 z dodatkiem Service Pack 1.

Informacje dotyczące instalacji
W tej aktualizacji zabezpieczeń są obsługiwane następujące parametry Instalatora:

      /help          Wyświetlenie opcji wiersza polecenia

Tryby instalacji

      /quiet           Tryb cichy (bez interwencji użytkownika ani wyświetlania informacji)

      /passive           Tryb nienadzorowany (tylko pasek postępu)

      /uninstall         Odinstalowanie pakietu

Opcje ponownego uruchamiania

      /norestart         Rezygnacja z ponownego uruchamiania po ukończeniu instalacji

      /forcerestart      Ponowne uruchomienie po zainstalowaniu

Opcje specjalne

      /l       Wyświetlenie listy zainstalowanych poprawek hotfix systemu Windows lub pakietów aktualizacyjnych

      /o       Zastąpienie plików producenta OEM bez monitowania

      /n       Rezygnacja z wykonywania kopii zapasowych plików wymaganych do dezinstalacji

      /f       Wymuszenie zamknięcia innych programów przy wyłączaniu komputera

 

Uwaga Wymienione parametry można łączyć. W celu zapewnienia zgodności z poprzednimi wersjami ta aktualizacja zabezpieczeń obsługuje także parametry Instalatora używane w poprzedniej wersji narzędzia instalacyjnego. Aby uzyskać więcej informacji o obsługiwanych parametrach instalacji, zobacz artykuł 262841 w bazie wiedzy Microsoft Knowledge Base.

Informacje dotyczące wdrażania
Aby zainstalować tę aktualizację zabezpieczeń bez interwencji użytkownika, wpisz w wierszu polecenia systemu Windows Server 2003 następujący ciąg:

Windowsserver2003-kb 835732 -x86-enu /passive /quiet

Aby zainstalować tę aktualizację zabezpieczeń bez wymuszania ponownego uruchomienia systemu, wpisz w wierszu polecenia systemu Windows Server 2003 następujący ciąg:

Windowsserver2003-kb 835732 -x86-enu /norestart

Informacje dotyczące sposobu wdrażania tej aktualizacji zabezpieczeń za pomocą usług Software Update Services zawiera witryna sieci Web usług Software Update Services.

Wymaganie dotyczące ponownego uruchomienia
Po zastosowaniu tej aktualizacji należy ponownie uruchomić system.

Informacje dotyczące usuwania
Do usunięcia tej aktualizacji należy użyć narzędzia Dodaj lub usuń programy w Panelu sterowania.

Administratorzy systemu mogą także usunąć tę aktualizację zabezpieczeń za pomocą narzędzia Spuninst.exe. Narzędzie Spuninst.exe znajduje się w folderze %Windir%\$NTUninstall KB835732 $\Spuninst. W tym programie narzędziowym są obsługiwane następujące parametry Instalatora:

•  /? : Wyświetlenie listy parametrów instalacji

•  /u : Użycie trybu nienadzorowanego

•  /f : Wymuszenie zamknięcia innych programów przy wyłączaniu komputera

•  /z : Rezygnacja z ponownego uruchamiania po ukończeniu instalacji

•  /q : Tryb cichy (bez interakcji użytkownika)

Informacje dotyczące pliku
Podstawowe atrybuty plików dla wersji tej aktualizacji w języku angielskim wymieniono w poniższej tabeli. Daty i godziny dotyczące plików podano względem skoordynowanego czasu uniwersalnego (CUT, Coordinated Universal Time). W czasie przeglądania informacji o pliku są one konwertowane na czas lokalny. Aby określić różnicę między czasem CUT a lokalnym, skorzystaj z karty Strefa czasowa w narzędziu Data i godzina w Panelu sterowania.

System operacyjny Windows XP w wydaniu 64-bitowym z dodatkiem Service Pack 1:

   Data      Godzina         Wersja     Rozmiar  Nazwa pliku     Platforma
   --------------------------------------------------------------------------
   2004-03-26  19:40  5.1.2600.1363     134 656  Evtgprov.dll     IA64
   2004-03-26  19:40  5.1.2600.1346     884 736  Gdi32.dll        IA64
   2004-03-26  19:40  5.1.2600.1348   1 035 264  H323.tsp         IA64
   2004-03-26  19:40  5.1.2600.1348   2 230 272  H323msp.dll      IA64
   2004-02-05  21:40  5.1.2600.1340   2 426 368  Helpctr.exe      IA64
   2004-03-26  19:40  5.1.2600.1364   1 782 784  Ipnathlp.dll     IA64
   2004-03-26  19:40  5.1.2600.1361   2 069 504  Lsasrv.dll       IA64
   2004-03-26  19:40  5.1.2600.1331     128 512  Mf3216.dll       IA64
   2004-03-26  19:40  5.1.2600.1362     179 200  Msasn1.dll       IA64
   2004-03-26  19:40  5.1.2600.1343   1 272 320  Msgina.dll       IA64
   2004-03-26  19:40  5.1.2600.1343     903 168  Netapi32.dll     IA64
   2004-03-26  19:40  5.1.2600.1347     508 416  Schannel.dll     IA64
   2004-03-26  19:43  5.1.2600.1346     237 568  Wgdi32.dll       X86
   2004-03-26  19:43  5.1.2600.1348     253 440  Wh323.tsp        X86
   2004-03-26  19:43  5.1.2600.1348     593 408  Wh323msp.dll     X86
   2004-03-26  19:43  5.1.2600.1364     439 808  Wipnathlp.dll    X86
   2004-03-26  19:43  5.1.2600.1331      36 864  Wmf3216.dll      X86
   2004-03-26  19:43  5.1.2600.1362      51 712  Wmsasn1.dll      X86
   2004-03-26  19:43  5.1.2600.1343     971 264  Wmsgina.dll      X86
   2004-03-26  19:43  5.1.2600.1343     306 176  Wnetapi32.dll    X86
   2004-03-26  19:43  5.1.2600.1347     136 704  Wschannel.dll    X86
   2004-03-10  17:59  5.1.2600.1363     593 408  Wxpsp2res.dll    X86
   2004-03-10  17:59  5.1.2600.1363     592 896  Xpsp2res.dll     IA64

Systemy operacyjne Windows XP Home Edition, Windows XP Professional, Windows XP Home Edition z dodatkiem Service Pack 1, Windows XP Professional z dodatkiem Service Pack 1, Windows XP Tablet PC Edition i Windows XP Media Center Edition:

   Data       Godzina Wersja             Rozmiar  Nazwa pliku     Folder
   -----------------------------------------------------------------------
   2004-03-27  01:01  5.1.2600.105       48 640   Browser.dll     (sprzed sp1)
   2004-03-27  01:01  5.1.2600.133       364 544  Callcont.dll    (sprzed sp1)
   2004-03-27  01:01  5.1.2600.136       40 960   Evtgprov.dll    (sprzed sp1)
   2004-03-27  01:01  5.1.2600.132       241 664  Gdi32.dll       (sprzed sp1)
   2004-03-27  01:01  5.1.2600.134       253 440  H323.tsp        (sprzed sp1)
   2004-03-27  01:01  5.1.2600.134       593 408  H323msp.dll     (sprzed sp1)
   2004-02-05  22:14  5.1.2600.128       727 040  Helpctr.exe     (sprzed sp1)
   2004-03-27  01:01  5.1.2600.137       454 656  Ipnathlp.dll    (sprzed sp1)
   2004-03-27  01:01  5.1.2600.134       648 192  Lsasrv.dll      (sprzed sp1)
   2004-03-27  01:01  5.1.2600.132       36 864   Mf3216.dll      (sprzed sp1)
   2004-03-27  01:01  5.1.2600.134       51 712   Msasn1.dll      (sprzed sp1)
   2004-03-27  01:01  5.1.2600.128       969 216  Msgina.dll      (sprzed sp1)
   2004-03-27  01:01  5.1.2600.133       253 952  Mst120.dll      (sprzed sp1)
   2004-03-27  01:01  5.1.2600.122       301 568  Netapi32.dll    (sprzed sp1)
   2004-03-27  01:01  5.1.2600.133       73 728   Nmcom.dll       (sprzed sp1)
   2004-03-27  01:01  5.1.2600.134       550 400  Rtcdll.dll      (sprzed sp1)
   2004-03-27  01:01  5.1.2600.136       136 704  Schannel.dll    (sprzed sp1)
   2004-03-26  19:43  5.1.2600.1348      364 544  Callcont.dll    (z sp1)
   2004-03-26  19:43  5.1.2600.1363      40 960   Evtgprov.dll    (z sp1)
   2004-03-26  19:43  5.1.2600.1346      257 536  Gdi32.dll       (z sp1)
   2004-03-26  19:43  5.1.2600.1348      253 440  H323.tsp        (z sp1)
   2004-03-26  19:43  5.1.2600.1348      593 408  H323msp.dll     (z sp1)
   2004-03-26  19:30  5.1.2600.1340      741 376  Helpctr.exe     (z sp1)
   2004-03-26  19:43  5.1.2600.1364      439 808  Ipnathlp.dll    (z sp1)
   2004-03-26  19:43  5.1.2600.1361      667 648  Lsasrv.dll      (z sp1)
   2004-03-26  19:43  5.1.2600.1331      36 864   Mf3216.dll      (z sp1)
   2004-03-26  19:43  5.1.2600.1362      51 712   Msasn1.dll      (z sp1)
   2004-03-26  19:43  5.1.2600.1343      971 264  Msgina.dll      (z sp1)
   26-03-2004  19:43  5.1.2600.1348      253 952  Mst120.dll      (z sp1)
   26-03-2004  19:43  5.1.2600.1343      306 176  Netapi32.dll    (z sp1)
   2004-03-26  19:43  5.1.2600.1348      73 728   Nmcom.dll       (z sp1)
   2004-03-26  19:43  5.1.2600.1351      548 352  Rtcdll.dll      (z sp1)
   2004-03-26  19:43  5.1.2600.1347      136 704  Schannel.dll    (z sp1)
   2004-03-10  17:59  5.1.2600.1363      593 408  Xpsp2res.dll    (z sp1)

System operacyjny Windows XP w wydaniu 64-bitowym, wersja 2003:

   Data      Godzina  Wersja            Rozmiar    Nazwa pliku    Platforma  Folder
   -----------------------------------------------------------------------------
   2004-03-16  01:54  5.2.3790.121      160 768  Eventlog.dll     IA64   RTMGDR
   2004-03-16  01:54  5.2.3790.132      816 128  H323.tsp         IA64   RTMGDR
   2004-03-16  01:54  5.2.3790.132    1 874 432  H323msp.dll      IA64   RTMGDR
   2004-02-05  00:43  5.2.3790.125    2 063 360  Helpctr.exe      IA64   RTMGDR
   2004-03-16  01:54  5.2.3790.142    1 421 312  Ipnathlp.dll     IA64   RTMGDR
   2004-03-16  01:54  5.2.3790.134    2 034 176  Lsasrv.dll       IA64   RTMGDR
   2004-03-16  01:54  5.2.3790.139      160 256  Msasn1.dll       IA64   RTMGDR
   2004-03-16  01:54  5.2.3790.132      479 744  Schannel.dll     IA64   RTMGDR
   2004-03-16  02:00  5.2.3790.132      256 000  Wh323.tsp        X86    RTMGDR\WOW
   2004-03-16  02:00  5.2.3790.132      601 600  Wh323msp.dll     X86    RTMGDR\WOW
   2004-03-16  02:00  5.2.3790.142      448 512  Wipnathlp.dll    X86    RTMGDR\WOW
   2004-03-16  02:00  5.2.3790.139       60 928  Wmsasn1.dll      X86    RTMGDR\WOW
   2004-03-16  02:00  5.2.3790.132      153 088  Wschannel.dll    X86    RTMGDR\WOW
   2004-03-16  02:12  5.2.3790.121      167 424  Eventlog.dll     IA64   RTMQFE
   2004-03-16  02:12  5.2.3790.132      816 128  H323.tsp         IA64   RTMQFE
   2004-03-16  02:12  5.2.3790.132    1 874 432  H323msp.dll      IA64   RTMQFE
   2004-02-05  00:42  5.2.3790.125    2 063 360  Helpctr.exe      IA64   RTMQFE
   2004-03-16  02:12  5.2.3790.142    1 421 312  Ipnathlp.dll     IA64   RTMQFE
   2004-03-16  02:12  5.2.3790.134    2 038 272  Lsasrv.dll       IA64   RTMQFE
   2004-03-16  02:12  5.2.3790.139      160 256  Msasn1.dll       IA64   RTMQFE
   2004-03-16  02:12  5.2.3790.132      479 744  Schannel.dll     IA64   RTMQFE
   2004-03-16  02:09  5.2.3790.132      256 000  Wh323.tsp        X86    RTMQFE\WOW
   2004-03-16  02:09  5.2.3790.132      601 600  Wh323msp.dll     X86    RTMQFE\WOW
   2004-03-16  02:09  5.2.3790.142      448 512  Wipnathlp.dll    X86    RTMQFE\WOW
   2004-03-16  02:09  5.2.3790.139       60 928  Wmsasn1.dll      X86    RTMQFE\WOW
   2004-03-16  02:09  5.2.3790.132      153 088  Wschannel.dll    X86    RTMQFE\WOW
              

Uwaga Podczas instalowania tej aktualizacji zabezpieczeń w systemie Windows Server 2003 lub w systemie Windows XP 2003 w wydaniu 64-bitowym Instalator sprawdza, czy jakikolwiek z aktualizowanych plików w systemie został wcześniej zaktualizowany przez zastosowanie poprawki hotfix firmy Microsoft. Jeśli tak, Instalator kopiuje pliki RTMQFE do systemu użytkownika. W przeciwnym wypadku Instalator kopiuje pliki RTMGDR. Więcej informacji na ten temat można znaleźć w artykule 824994 w bazie wiedzy Microsoft Knowledge Base.

 

Weryfikowanie instalacji aktualizacji
Aby sprawdzić, czy aktualizacja zabezpieczeń jest zainstalowana w systemie podlegającym usterce, można użyć narzędzia MBSA (Microsoft Baseline Security Analyzer), które umożliwia administratorom skanowanie lokalnych i zdalnych systemów w poszukiwaniu brakujących aktualizacji zabezpieczeń oraz typowych błędów konfiguracji zabezpieczeń. Więcej informacji na temat narzędzia MBSA można znaleźć w witrynie sieci Web Microsoft Baseline Security Analyzer .

Pliki, które zostały zainstalowane przez tę aktualizację zabezpieczeń, można także zweryfikować, przeglądając zawartość następującego klucza rejestru:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP1\ KB835732 \Filelist

Uwaga Ten klucz rejestru może nie zostać utworzony prawidłowo, jeśli administrator lub producent OEM zintegruje aktualizację zabezpieczeń 835732 ze źródłowymi plikami instalacyjnymi systemu Windows lub ją do nich włączy.

 

Windows 2000 (wszystkie wersje)

Warunki wstępne
W systemie Windows 2000 ta aktualizacja zabezpieczeń wymaga dodatku Service Pack 2 (SP2), Service Pack 3 (SP3) lub Service Pack 4 (SP4).

Powyższe oprogramowanie przetestowano w celu określenia wersji, których dotyczy problem. Inne wersje nie obsługują już aktualizacji zabezpieczeń lub problem ich nie dotyczy. Aby zapoznać się z zasadami cyklu pomocy technicznej dotyczącymi używanych produktów i wersji, odwiedź witrynę zasad cyklu pomocy technicznej firmy Microsoft .

Aby uzyskać więcej informacji na temat sposobów uzyskania najnowszego dodatku Service Pack, zobacz artykuł 260910 w bazie wiedzy Microsoft Knowledge Base.

 

Uwzględnianie w przyszłych dodatkach Service Pack:
Poprawki dotyczące tych problemów będzie zawierać system Windows 2000 z dodatkiem Service Pack 5.

Informacje dotyczące instalacji
W tej aktualizacji zabezpieczeń są obsługiwane następujące parametry Instalatora:

      /help          Wyświetlenie opcji wiersza polecenia

Tryby instalacji

      /quiet           Tryb cichy (bez interwencji użytkownika ani wyświetlania informacji) )

      /passive           Tryb nienadzorowany (tylko pasek postępu)

      /uninstall         Odinstalowanie pakietu

Opcje ponownego uruchamiania

      /norestart         Rezygnacja z ponownego uruchamiania po ukończeniu instalacji

      /forcerestart      Ponowne uruchomienie po zainstalowaniu u

Opcje specjalne

      /l       Wyświetlenie listy zainstalowanych poprawek hotfix systemu Windows lub pakietów aktualizacyjnych

      /o       Zastąpienie plików producenta OEM bez monitowania

            Rezygnacja z wykonywania kopii zapasowych plików wymaganych do dezinstalacji

      /f       Wymuszenie zamknięcia innych programów przy wyłączaniu komputera

 

Uwaga Wymienione parametry można łączyć. W celu zapewnienia zgodności z poprzednimi wersjami ta aktualizacja zabezpieczeń obsługuje także parametry Instalatora używane w poprzedniej wersji narzędzia instalacyjnego. Aby uzyskać więcej informacji o obsługiwanych parametrach instalacji, zobacz artykuł 262841 w bazie wiedzy Microsoft Knowledge Base.

Informacje dotyczące wdrażania
Aby zainstalować tę aktualizację zabezpieczeń bez interwencji użytkownika, wpisz następujący ciąg w wierszu polecenia systemu Windows 2000 z dodatkiem Service Pack 2, systemu Windows 2000 z dodatkiem Service Pack 3 lub systemu Windows 2000 z dodatkiem Service Pack 4:

Windows2000-kb 835732 -x86-enu /passive /quiet

Aby zainstalować tę aktualizację zabezpieczeń bez wymuszania ponownego uruchomienia systemu, wpisz następujący ciąg w wierszu polecenia systemu Windows 2000 z dodatkiem Service Pack 2, systemu Windows 2000 z dodatkiem Service Pack 3 lub systemu Windows 2000 z dodatkiem Service Pack 4:

Windows2000-kb 835732 -x86-enu /norestart

Informacje dotyczące sposobu wdrażania tej aktualizacji zabezpieczeń za pomocą usług Software Update Services zawiera witryna sieci Web usług Software Update Services.

Wymaganie dotyczące ponownego uruchomienia
Po zastosowaniu tej aktualizacji należy ponownie uruchomić system.

Informacje dotyczące usuwania
Do usunięcia tej aktualizacji zabezpieczeń należy użyć narzędzia Dodaj/Usuń programy w Panelu sterowania.

Administratorzy systemu mogą także usunąć tę aktualizację zabezpieczeń za pomocą narzędzia Spuninst.exe. Narzędzie Spuninst.exe znajduje się w folderze %Windir%\$NTUninstall KB835732 $\Spuninst. W tym programie narzędziowym są obsługiwane następujące parametry Instalatora:

•  /? : Wyświetlenie listy parametrów instalacji

•  /u : Użycie trybu nienadzorowanego

•  /f : Wymuszenie zamknięcia innych programów przy wyłączaniu komputera a

•  /z : Rezygnacja z ponownego uruchamiania po ukończeniu instalacji

•  /q : Tryb cichy (bez interakcji użytkownika)

Informacje dotyczące pliku
Podstawowe atrybuty plików dla wersji tej aktualizacji w języku angielskim wymieniono w poniższej tabeli. Daty i godziny dotyczące plików podano względem skoordynowanego czasu uniwersalnego (CUT, Coordinated Universal Time). W czasie przeglądania informacji o pliku są one konwertowane na czas lokalny. Aby określić różnicę między czasem CUT a lokalnym, skorzystaj z karty Strefa czasowa w narzędziu Data i godzina w Panelu sterowania.

Uwaga a Data i godzina poszczególnych plików mogą ulec zmianie podczas instalacji. W celu sprawdzenia poprawności zainstalowanych plików należy porównać ich wersje, rozmiar i nazwy plików.

Systemy operacyjne Windows 2000 z dodatkiem Service Pack 2, Windows 2000 z dodatkiem Service Pack 3 i Windows 2000 z dodatkiem Service Pack 4:

   Data       Godzina Wersja            Rozmiar  Nazwa pliku   Folder  
   -----------------------------------------------------------------------
   2004-03-24  02:17  5.0.2195.6876     388 368  Advapi32.dll     
   2004-03-24  02:17  5.0.2195.6824      42 256  Basesrv.dll     
   2004-03-24  02:17  5.0.2195.6866      69 904  Browser.dll     
   2004-03-24  02:17  5.0.2195.6901     394 512  Callcont.dll     
   2003-09-21  00:45  5.0.2195.6824     236,304  Cmd.exe          
   2004-03-24  02:17  5.131.2195.6824   543 504  Crypt32.dll     
   2004-03-24  02:17  5.131.2195.6824    61 200  Cryptnet.dll     
   2004-03-24  02:17  5.0.2195.6868      76 048  Cryptsvc.dll     
   2004-03-24  02:17  5.0.2195.6824     134 928  Dnsapi.dll     
   2004-03-24  02:17  5.0.2195.6876      92 432  Dnsrslvr.dll     
   2004-03-24  02:17  5.0.2195.6883      47 888  Eventlog.dll     
   2004-03-24  02:17  5.0.2195.6898     242 448  Gdi32.dll     
   2004-03-24  02:17  5.0.2195.6901     255 248  H323.tsp         
   2004-03-24  00:46                        502  Hfsecper.inf
   2004-03-17  21:50                        502  Hfsecupd.inf
   2004-03-24  02:17  5.0.2195.6902     442 640  Ipnathlp.dll     
   2004-03-24  02:17  5.0.2195. 6890    143 632  Kdcsvc.dll     
   2004-03-11  02:37  5.0.2195.6903     210 192  Kerberos.dll     
   2004-03-24  02:17  5.0.2195.6897     742 160  Kernel32.dll     
   2003-09-21  00:32  5.0.2195.6824      71 888  Ksecdd.sys       
   2004-03-11  02:37  5.0.2195.6902     520 976  Lsasrv.dll       
   2004-02-25  23:59  5.0.2195.6902      33 552  Lsass.exe        
   2004-03-24  02:17  5.0.2195.6898      37 136  Mf3216.dll     
   2004-02-10  19:47  5.0.2195.6897      30 160  Mountmgr.sys     
   2004-03-24  02:17  5.0.2195.6824      54 544  Mpr.dll          
   2004-03-24  02:17  5.0.2195.6905      53 520  Msasn1.dll     
   2004-03-24  02:17  5.0.2195.6905     335 120  Msgina.dll     
   2004-03-24  02:17  5.0.2195.6901     249 616  Mst120.dll     
   2004-03-11  02:37  5.0.2195.6897     123 152  Msv1_0.dll       
   2004-03-24  02:17  5.0.2195.6897     312 592  Netapi32.dll     
   2004-03-24  02:17  5.0.2195.6891     371 472  Netlogon.dll     
   2004-03-24  02:17  5.0.2195.6901      62 224  Nmcom.dll         
   2004-03-24  02:17  5.0.2195.6899     497 936  Ntdll.dll     
   2004-03-24  02:17  5.0.2195.6896   1 028 880  Ntdsa.dll     
   2004-02-25  23:55  5.0.2195.6902   1 699 904  Ntkrnlmp.exe        
   2004-02-25  23:55  5.0.2195.6902   1 699 264  Ntkrnlpa.exe        
   2004-02-25  23:55  5.0.2195.6902   1 720 064  Ntkrpamp.exe        
   2004-03-11  02:37  5.0.2195.6902   1 726 032  Ntoskrnl.exe     
   2004-03-24  02:17  5.0.2195.6824     115 984  Psbase.dll     
   2004-03-24  02:17  5.0.2195.6892      90 264  Rdpwd.sys        
   2004-03-24  02:17  5.0.2195.6897      49 936  Samlib.dll     
   2004-03-24  02:17  5.0.2195.6897     388 368  Samsrv.dll     
   2004-03-24  02:17  5.0.2195.6893     111 376  Scecli.dll     
   2004-03-24  02:17  5.0.2195.6903     253 200  Scesrv.dll     
   2004-03-11  02:37  5.1.2195.6899     143 120  Schannel.dll     
   2003-06-19  20:05  5.0.2195.6707      17 168  Seclogon.dll     
   2004-03-24  02:17  5.0.2195.6894     971 536  Sfcfiles.dll     
   2004-02-05  20:18  5.0.2195.6896   5 869 056  Sp3res.dll       
   2004-03-24  02:17  1.0.0.4            27 920  Umandlg.dll      
   2004-03-24  02:17  5.0.2195.6897     403 216  User32.dll     
   2003-08-05  22:14  5.0.2195.6794     385 808  Userenv.dll       
   2004-03-24  02:17  5.0.2195.6824      50 960  W32time.dll     
   2003-09-21  00:32  5.0.2195.6824      57 104  W32tm.exe        
   2004-03-11  02:37  5.0.2195. 6897  1 720 368  Win32k.sys       
   2003-12-12  21:38  5.1.2600.1327     311 296  Winhttp.dll      
   2004-03-11  02:37  5.0.2195.6898     181 520  Winlogon.exe     
   2003-09-25  18:08  5.0.2195.6826     243 984  Winsrv.dll       
   2004-03-24  02:17  5.131.2195.6824   167 184  Wintrust.dll     
   2004-03-24  02:17  5.0.2195.6897     742 160  Kernel32.dll  Uniproc   
   2004-03-24  02:17  5.0.2195.6899     497 936  Ntdll.dll     Uniproc   
   2004-03-11  02:37  5.0.2195. 6897  1 720 368  Win32k.sys    Uniproc   
   2003-09-25  18:08  5.0.2195.6826     243 984  Winsrv.dll    Uniproc  

Weryfikowanie instalacji aktualizacji i
Aby sprawdzić, czy aktualizacja zabezpieczeń jest zainstalowana w systemie podlegającym usterce, można użyć narzędzia MBSA (Microsoft Baseline Security Analyzer), które umożliwia administratorom skanowanie lokalnych i zdalnych systemów w poszukiwaniu brakujących aktualizacji zabezpieczeń oraz typowych błędów konfiguracji zabezpieczeń. Więcej informacji na temat narzędzia MBSA można znaleźć w witrynie sieci Web Microsoft Baseline Security Analyzer .

Pliki, które zostały zainstalowane przez tę aktualizację zabezpieczeń, można także zweryfikować, przeglądając zawartość następującego klucza rejestru:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\ KB835732 \Filelist

Uwaga Ten klucz rejestru może nie zostać utworzony prawidłowo, jeśli administrator lub producent OEM zintegruje aktualizację zabezpieczeń 835732 ze źródłowymi plikami instalacyjnymi systemu Windows lub ją do nich włączy.

Windows NT 4.0 (wszystkie wersje)

Warunki wstępne
Ta aktualizacja zabezpieczeń wymaga systemu operacyjnego Windows NT Workstation 4.0 z dodatkiem Service Pack 6a (SP6a), Windows NT Server 4.0 z dodatkiem Service Pack 6a (SP6a) lub Windows NT Server 4.0 Terminal Server Edition z dodatkiem Service Pack 6 (SP6).

Powyższe oprogramowanie przetestowano w celu określenia wersji, których dotyczy problem. Inne wersje nie obsługują już aktualizacji zabezpieczeń lub problem ich nie dotyczy. Aby zapoznać się z zasadami cyklu pomocy technicznej dotyczącymi używanych produktów i wersji, odwiedź witrynę zasad cyklu pomocy technicznej firmy Microsoft .

Aby uzyskać więcej informacji na temat sposobu uzyskania najnowszego dodatku Service Pack, zobacz artykuł 152734 w bazie wiedzy Microsoft Knowledge Base.

Informacje dotyczące instalacji
W tej aktualizacji zabezpieczeń są obsługiwane następujące parametry Instalatora:

•  /y : Wykonanie usunięcia (tylko z parametrem /m lub /q )

•  /f : Wymuszenie zamknięcia programów przy wyłączaniu komputera

•  /n : Rezygnacja z tworzenia folderu dezinstalacji

•  /z : Rezygnacja z ponownego uruchamiania po ukończeniu instalacji

•  /q : Użycie trybu cichego lub nienadzorowanego, bez interfejsu użytkownika (ten parametr jest rozszerzeniem parametru /m )

•  /m : Użycie trybu nienadzorowanego z interfejsem użytkownika

•  /l : Wyświetlenie listy zainstalowanych poprawek hotfix

•  /x : Wyodrębnienie plików bez uruchamiania Instalatora

Uwaga Wymienione parametry można łączyć. Aby uzyskać więcej informacji o obsługiwanych parametrach instalacji, zobacz artykuł 262841 1 w bazie wiedzy Microsoft Knowledge Base.
 

Informacje dotyczące wdrażania
Aby zainstalować tę aktualizację zabezpieczeń bez interwencji użytkownika, wpisz w wierszu polecenia systemu Windows NT Server 4.0 następujący ciąg:

Windowsnt4server-kb 835732 -x86-enu /q

W systemie Windows NT Server 4.0 Terminal Server Edition:

Windowsnt4terminalserver-kb 835732 -x86-enu /q

W systemie Windows NT Workstation 4.0:

Windowsnt4workstation-kb 835732 -x86-enu /q

Aby zainstalować tę aktualizację zabezpieczeń bez wymuszania ponownego uruchomienia systemu, wpisz w wierszu polecenia systemu Windows NT Server 4.0 następujący ciąg:

Windowsnt4server-kb 835732 -x86-enu /z

W systemie Windows NT Server 4.0 Terminal Server Edition:

Windowsnt4terminalserver-kb 835732 -x86-enu /z

W systemie Windows NT Workstation 4.0:

Windowsnt4workstation-kb 835732 -x86-enu /z

Informacje dotyczące sposobu wdrażania tej aktualizacji zabezpieczeń za pomocą usług Software Update Services zawiera witryna sieci Web usług Software Update Services.

Wymaganie dotyczące ponownego uruchomienia
Po zastosowaniu tej aktualizacji należy ponownie uruchomić system.

Informacje dotyczące usuwania
Do usunięcia tej aktualizacji zabezpieczeń należy użyć narzędzia Dodaj/Usuń programy w Panelu sterowania.

Administratorzy systemu mogą usunąć tę aktualizację zabezpieczeń za pomocą narzędzia Hotfix.exe. Narzędzie Hotfix.exe znajduje się w folderze %Windir%\$NTUninstall KB835732 $. W programie narzędziowym Hotfix.exe są dostępne następujące parametry Instalatora:

•  /y : Wykonanie usunięcia (tylko z parametrem /m lub /q )

•  /f : Wymuszenie zamknięcia programów przy wyłączaniu komputera

•  /n : Rezygnacja z tworzenia folderu dezinstalacji

•  /z : Rezygnacja z ponownego uruchamiania po ukończeniu instalacji

•  / q : Użycie trybu cichego lub nienadzorowanego, bez interfejsu użytkownika (ten parametr jest rozszerzeniem parametru /m )

•  /m : Użycie trybu nienadzorowanego z interfejsem użytkownika

•  /l : Wyświetlenie listy zainstalowanych poprawek hotfix

•   

Informacje dotyczące pliku
Podstawowe atrybuty plików dla wersji tej aktualizacji w języku angielskim wymieniono w poniższej tabeli. Daty i godziny dotyczące plików podano względem skoordynowanego czasu uniwersalnego (CUT, Coordinated Universal Time). W czasie przeglądania informacji o pliku są one konwertowane na czas lokalny. Aby określić różnicę między czasem CUT a lokalnym, skorzystaj z karty Strefa czasowa w narzędziu Data i godzina w Panelu sterowania.

Uwaga Uwaga Data i godzina poszczególnych plików mogą ulec zmianie podczas instalacji. W celu sprawdzenia poprawności zainstalowanych plików należy porównać ich wersje, rozmiar i nazwy plików.

Windows NT Workstation 4.0

   Data      Godzina  Wersja            Rozmiar  Nazwa pliku   Folder
   --------------------------------------------------------------------
   2004-01-24  00:12  5.131.1880.14     465 680  Crypt32.dll      
   2002-09-25  21:36  5.0.1558.6072      90 384  Cryptdlg.dll     
   2003-12-24  00:10  5.131.1878.14     440 080  Cryptui.dll      
   2004-02-27  16:43  4.0.1381.7263     205 584  Gdi32.dll        
   2004-02-23  15:13  4.0.1381.7263      40 720  Mf3216.dll       
   2004-03-05  23:59  5.0.2195.6905      53 520  Msasn1.dll     
   2004-02-28  01:31  5.131.1880.14      37 136  Mscat32.dll      
   2004-01-09  15:40  4.0.1381.7255     125 200  Msgina.dll       
   2004-01-03  02:22  5.131.1878.13      28 432  Mssip32.dll      
   2004-03-18  10:20  4.0.1381.7265     958 336  Ntkrnlmp.exe     
   2004-03-18  10:20  4.0.1381.7265     937 984  Ntoskrnl.exe     
   2003-10-25  01:13  4.86.1964.1880    143 632  Schannel.dll     
   2003-12-12  22:24  5.131.1880.14       6 928  Softpub.dll      
   2004-02-27  16:43  4.0.1381.7255     326 928  User32.dll       
   2004-01-07  10:47  4.0.1381.7255   1 255 152  Win32k.sys       
   2004-02-27  16:43  4.0.1381.7260     174 864  Winsrv.dll       
   2004-02-19  17:50  5.131.1880.14     165 648  Wintrust.dll
   2003-10-25  01:13  4.87.1964.1880    112 912  Schannel.dll 128 bitów
            

Windows NT Server 4.0:

   Data       Godzina Wersja            Rozmiar  Nazwa pliku   Folder
   -----------------------------------------------------------------------
   2004-01-24  00:12  5.131.1880.14     465 680  Crypt32.dll      
   2002-09-25  21:36  5.0.1558.6072      90 384  Cryptdlg.dll     
   2003-12-24  00:10  5.131.1878.14     440 080  Cryptui.dll      
   2004-02-27  16:43  4.0.1381.7263     205 584  Gdi32.dll        
   2004-02-23  15:13  4.0.1381.7263      40 720  Mf3216.dll       
   2004-03-05  23:59  5.0.2195.6905      53 520  Msasn1.dll     
   2004-02-28  01:31  5.131.1880.14      37 136  Mscat32.dll      
   2004-01-09  15:40  4.0.1381.7255     125 200  Msgina.dll       
   2004-01-03  02:22  5.131.1878.13      28 432  Mssip32.dll      
   2004-03-18  10:20  4.0.1381.7265     958 336  Ntkrnlmp.exe     
   2004-03-18  10:20  4.0.1381.7265     937 984  Ntoskrnl.exe     
   2004-03-25  01:13  4.86.1964.1880    143 632  Schannel.dll     
   2003-12-12  22:24  5.131.1880.14       6 928  Softpub.dll      
   2004-02-27  16:43  4.0.1381.7255     326 928  User32.dll       
   2004-01-07  10:47  4.0.1381.7255   1 255 152  Win32k.sys       
   2004-02-27  16:43  4.0.1381.7260     174 864  Winsrv.dll       
   2004-02-19  17:50  5.131.1880.14     165 648  Wintrust.dll
   2003-10-25  01:13  4.87.1964.1880    112 912  Schannel.dll  128 bitów

System operacyjny Windows NT Server 4.0 Terminal Server erver Edition:

   Data      Godzina  Wersja            Rozmiar  Nazwa pliku   Folder
   -----------------------------------------------------------------------
   2004-01-24  00:12  5.131.1880.14     465 680  Crypt32.dll      
   2002-09-25  21:36  5.0.1558.6072      90 384  Cryptdlg.dll     
   2003-12-24  00:10  5.131.1878.14     440 080  Cryptui.dll      
   2004-02-24  18:25  4.0.1381.33562    206 096  Gdi32.dll        
   2004-02-24  18:25  4.0.1381.33562     40 208  Mf3216.dll       
   2004-03-05  23:59  5.0.2195.6905      53 520  Msasn1.dll     
   2004-02-28  01:31  5.131.1880.14      37 136  Mscat32.dll      
   2004-01-09  15:41  4.0.1381.33559    208 656  Msgina.dll       
   2004-01-03  02:22  5.131.1878.13      28 432  Mssip32.dll      
   2004-03-18  11:44  4.0.1381.33563  1 004 160  Ntkrnlmp.exe     
   2004-03-18  11:44  4.0.1381.33563    983 104  Ntoskrnl.exe     
   2003-10-25  01:13  4.86.1964.1880    143 632  Schannel.dll     
   2003-12-12  22:24  5.131.1880.14       6 928  Softpub.dll      
   2003-08-19  13:58  4.0.1381.33552    332 048  User32.dll       
   2004-01-26  16:59  4.0.1381.33559  1 280 816  Win32k.sys       
   2003-12-16  17:56  4.0.1381.33559    196 368  Winsrv.dll       
   2004-02-19  17:50  5.131.1880.14     165 648  Wintrust.dll
   2003-10-25  01:13  4.87.1964.1880    112 912  Schannel.dll 128 bitów

Weryfikowanie instalacji aktualizacji
Aby sprawdzić, czy aktualizacja zabezpieczeń jest zainstalowana w systemie podlegającym usterce, można użyć narzędzia MBSA (Microsoft Baseline Security Analyzer), które umożliwia administratorom skanowanie lokalnych i zdalnych systemów w poszukiwaniu brakujących aktualizacji zabezpieczeń oraz typowych błędów konfiguracji zabezpieczeń. Więcej informacji na temat narzędzia MBSA można znaleźć w witrynie sieci Web Microsoft Baseline Security Analyzer .

Pliki, które zostały zainstalowane przez tę aktualizację zabezpieczeń, można także zweryfikować, przeglądając zawartość następującego klucza rejestru:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\ KB835732 \File 1

Uwaga Ten klucz rejestru może nie zostać utworzony prawidłowo, jeśli administrator lub producent OEM zintegruje aktualizację zabezpieczeń 835732 ze źródłowymi plikami instalacyjnymi systemu Windows lub ją do nich włączy.

Firma Microsoft dziękuje wymienionym poniżej organizacjom i osobom za współpracę w dziedzinie ochrony klientów:

• Panu Carlosowi Sarraute z firmy Core Security Technologies za zgłoszenie usterki w protokole LDAP (CAN-2003-0663).
• Firmie Internet Security Systems za zgłoszenie usterki w protokole PCT (CAN-2003-0719).
• Panu Ondrejowi Sevecek owi za zgłoszenie usterki w usłudze Winlogon (CAN-2003-0806).
• Firmie iDefense i panu Jouko Pynnönenowi za zgłoszenie usterki w Centrum pomocy i obsługi technicznej (CAN-2003-0907).
• Panu Brettowi Moore z firmy Security-Assessment.com oraz panom Cesarowi Cerrudo i Benowi Pryor owi za zgłoszenie usterki Menedżera narzędzi ( CAN-2003-0908 ).
• Firmie NSFOCUS Security za zgłoszenie usterki w interfejsie negocjowania dostawcy SPP (CAN-2004-0719).
• Panu Johnowi Lampe z firmy Tenable Network Security za zgłoszenie usterki w protokole SSL (CAN-2004-0120)
• Firmom Foundstone, Inc i Qualys za zgłoszenie usterki w notacji ASN.1 (CAN-2004-0123).
• Firmie eEye Digital Security za zgłoszenie usterki w usłudze LSASS (CAN-2003-0533), metaplikach (CAN-2003-0906), tablicy deskryptorów lokalnych (CAN-2003-0910) i wirtualnej maszynie DOS (CAN-2004-0118).

Uzyskiwanie innych aktualizacji zabezpieczeń:
Aktualizacje dotyczące innych problemów związanych z zabezpieczeniami można uzyskać w następujących lokalizacjach:

• Aktualizacje zabezpieczeń są dostępne w Centrum pobierania firmy Microsoft . Najłatwiej je znaleźć, wyszukując wyrażenie „poprawka zabezpieczeń”.
• Aktualizacje dla poszczególnych platform są dostępne w witrynie sieci Web Windows Update .

Pomoc techniczna:

• Klienci mogą uzyskać pomoc techniczną w pod numerem 0 801 308 801 (koszt połączenia to jeden impuls połączenia lokalnego) lub (0-22) 594 19 99 w godzinach od 9:00 do 17:00, od poniedziałku do piątku .

Zasoby zabezpieczeń:

• Witryna sieci Web Microsoft TechNet Security zawiera dodatkowe informacje na temat zabezpieczeń w produktach firmy Microsoft.
• Usługi Microsoft Software Update Services .
• Narzędzie Microsoft Baseline Security Analyzer (MBSA).
• Witryna Windows Update .
• Wykaz Windows Update. Więcej informacji o wykazie Windows Update zawiera artykuł 323166 bazy wiedzy Microsoft Knowledge Base.
• Witryna Office Update .

Usługi Software Update Services (SUS):
Usługi Microsoft Software Update Services (SUS) umożliwiają administratorom szybkie i niezawodne wdrażanie najnowszych aktualizacji krytycznych i aktualizacji zabezpieczeń na serwerach działających w systemach Windows® 2000 oraz Windows Server™, a także na komputerach stacjonarnych z systemami Windows 2000 Professional lub Windows XP Professional.

Informacje dotyczące sposobu wdrażania tej aktualizacji zabezpieczeń za pomocą usług Software Update Services zawiera witryna sieci Web usług Software Update Services .

Program Systems Management Server (SMS):
Program Systems Management Server ułatwia wdrażanie tej aktualizacji zabezpieczeń. Informacje na temat programu Systems Management Server można uzyskać, odwiedzając witrynę sieci Web programu SMS . Aby uzyskać szczegółowe informacje o wielu ulepszeniach w procesie wdrażania aktualizacji zabezpieczeń, wprowadzonych w programie SMS 2003, odwiedź witrynę sieci Web zarządzania poprawkami zabezpieczeń programu SMS 2003 . Program SMS 2.0 zawiera także kilka dodatkowych narzędzi ułatwiających administratorom wdrażanie aktualizacji zabezpieczeń, takich jak SMS 2.0 Software Update Services Feature Pack oraz SMS 2.0 Administration Feature Pack . Dodatek SMS 2.0 Software Update Services Feature Pack zapewnia obsługę rozwiązań zawartych w biuletynach zabezpieczeń dzięki narzędziom Microsoft Baseline Security Analyzer oraz Microsoft Office Detection Tool. Niektóre aktualizacje oprogramowania mogą wymagać uprawnień administratora po ponownym uruchomieniu systemu.

Uwaga Funkcji zarządzania zasobami dodatku SMS 2.0 Software Update Services Feature Pack można używać do przyporządkowywania poszczególnych aktualizacji do określonych systemów, a narzędzia Elevated Rights Deployment Tool dodatku SMS 2.0 Administration Feature Pack można używać do instalacji. Zapewnia to optymalizację wdrażania aktualizacji wymagających ścisłego przyporządkowania do określonych komputerów za pomocą programu Systems Management Server i uprawnień administratora po ponownym uruchomieniu systemu.

Zrzeczenie odpowiedzialności:
Informacje w bazie wiedzy Microsoft Knowledge Base są dostarczane „tak jak są” bez jakiejkolwiek gwarancji. Firma Microsoft odrzuca wszelkie gwarancje, wyraźne i dorozumiane, w tym gwarancje dotyczące wartości handlowej i przydatności do określonego celu. Firma Microsoft Corporation ani jej dostawcy w żadnym wypadku nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym bezpośrednie, pośrednie, przypadkowe, wynikowe, utratę zysków handlowych lub szkody specjalne, nawet jeżeli firmę Microsoft Corporation lub jej dostawców powiadomiono o możliwości zaistnienia takich szkód. W niektórych stanach wyłączenie lub ograniczenie odpowiedzialności za straty wynikowe lub przypadkowe, a więc i powyższe ograniczenia, nie mają zastosowania.

Wersje:

• Wersja 1.0 (21 kwietnia 2004 r.): Opublikowano biuletyn