Biuletyn zabezpieczeń firmy Microsoft MS06-072

Osoba atakująca za pośrednictwem sieci Web, która chce wykorzystać tę lukę, może udostępniać witrynę zawierającą odpowiednią stronę sieci Web. Dodatkowo, witryny sieci Web, które akceptują lub udostępniają zawartość wprowadzoną przez użytkownika lub reklamy, jak również witryny niesprawdzone, mogą zawierać specjalnie spreparowane treści, które mogą wykorzystać lukę w zabezpieczeniach. Jednakże w żadnym przypadku osoba atakująca nie może zmusić użytkowników do odwiedzenia takich witryn. Musi natomiast przekonać użytkowników do odwiedzenia tej witryny, najczęściej zachęcając do kliknięcia łącza w wiadomości e-mail lub wiadomości błyskawicznej, które przekieruje użytkowników do witryny osoby atakującej.

Osoba atakująca, której uda się wykorzystać tę lukę, może uzyskać takie same uprawnienia, jak użytkownik lokalny. Użytkownicy, których konta zostały skonfigurowane w taki sposób, że mają niewielkie uprawnienia w systemie, ponoszą mniejsze ryzyko niż ci, którzy pracują z uprawnieniami administracyjnymi.

Domyślnie we wszystkich obsługiwanych wersjach programów Microsoft Outlook i Microsoft Outlook Express wiadomości e-mail w formacie HTML są domyślnie otwierane w strefie witryn z ograniczeniami. Strefa Witryny z ograniczeniami umożliwia zredukowanie liczby ataków osób usiłujących wykorzystać tę lukę, zapobiegając wykonywaniu aktywnych skryptów i wykorzystywaniu formantów ActiveX do odczytywania wiadomości e-mail w formacie HTML. Jeśli jednak użytkownik kliknie łącze znajdujące się w wiadomości e-mail, może być nadal zagrożony wykorzystującym tę lukę atakiem za pośrednictwem sieci Web.

Domyślnie program Internet Explorer w systemie Windows Server 2003 jest uruchamiany w trybie chronionym określanym jako Konfiguracja zwiększonych zabezpieczeń (j.ang.). W tym trybie poziom zabezpieczeń strefy Internet jest Wysoki. Jest to czynnik ograniczający zagrożenie w przypadku witryn sieci Web, których nie dodano do strefy witryn zaufanych programu Internet Explorer. Więcej informacji na temat konfiguracji zwiększonych zabezpieczeń w programie Internet Explorer można znaleźć w sekcji „Często zadawane pytania” dla tej aktualizacji zabezpieczeń.

Program Windows Internet Explorer 7 dla systemu Windows XP z dodatkiem Service Pack 2, Windows Internet Explorer 7 dla systemu Windows XP Professional x64 Edition, Windows Internet Explorer 7 dla systemu Windows Server 2003 z dodatkiem Service Pack 1, Windows Internet Explorer 7 dla systemu Windows Server 2003 z dodatkiem SP1 dla systemów z procesorem Itanium, Windows Internet Explorer 7 dla systemu Windows Server 2003 x64 Edition i Windows Internet Explorer 7 zainstalowany w systemie Windows Vista nie są zagrożone przez omawianą lukę w zabezpieczeniach.

Program Microsoft Internet Explorer 5.01 z dodatkiem Service Pack 4 w systemie Windows 2000 z dodatkiem Service Pack nie jest zagrożony przez omawianą lukę w zabezpieczeniach.

Wybranie takich ustawień programu Internet Explorer, aby przed każdym uruchomieniem aktywnych skryptów wyświetlany był monit lub aby aktywne skrypty były wyłączone w strefie zabezpieczeń Internet i Lokalny intranet

Przed skutkami tej luki można się chronić, zmieniając ustawienia tak, aby przed uruchomieniem aktywnych skryptów wyświetlany był monit lub aby aktywne skrypty były wyłączone w strefie zabezpieczeń Internet i Lokalny intranet. W tym celu wykonaj następujące czynności:

Uwaga Wyłączenie obsługi aktywnych skryptów w strefie zabezpieczeń Internet i Lokalny intranet może spowodować nieprawidłowe działanie niektórych witryn sieci Web. W razie trudności z korzystaniem z witryny sieci Web po zmianie tego ustawienia przy pewności, że witryna taka jest bezpieczna, można ją dodać do listy witryn zaufanych. Witryna będzie wówczas działać poprawnie.

Wpływ obejścia: Wyświetlanie monitu przed uruchomieniem aktywnych skryptów ma pewne efekty uboczne. W wielu dostępnych w Internecie lub w intranecie witrynach sieci Web aktywne skrypty umożliwiają udostępnianie dodatkowych funkcji. Na przykład w witrynie, w której odbywa się handel elektroniczny w trybie online lub w witrynie bankowej, wykonywanie aktywnych skryptów pozwala na korzystanie z menu, formularzy zamówień czy nawet z wyciągów bankowych. Wyświetlanie monitów przed uruchomieniem aktywnych skryptów to ustawienie globalne dotyczące wszystkich witryn internetowych i intranetowych. Po zastosowaniu tego obejścia monity będą pojawiać się bardzo często. Jeżeli odwiedzana witryna jest zaufana, po wyświetleniu każdego monitu należy kliknąć przycisk Tak, aby wykonać aktywny skrypt. Aby wyłączyć monitowanie dla wszystkich takich witryn, należy wykonać kroki, które podano w sekcji „Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer”.

Dodawanie witryn, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer

Po skonfigurowaniu programu Internet Explorer do wyświetlania monitów przed uruchomieniem formantów ActiveX i wykonywaniem aktywnych skryptów w strefie Internet oraz Lokalny intranet należy dodać witryny zaufane do strefy Zaufane witryny. Umożliwi to dalsze korzystanie z zaufanych witryn sieci Web w taki sam sposób jak dotychczas, zapewniając jednocześnie ochronę przed atakiem z witryn niezaufanych. Zaleca się dodawanie do strefy witryn zaufanych tylko witryn o sprawdzonej zawartości.

W tym celu wykonaj następujące czynności:

Uwaga Dodaj witryny, co do których masz pewność, że nie zostaną z nich podjęte szkodliwe działania w celu zaatakowania tego komputera. W szczególności warto dodać witryny „*.windowsupdate.microsoft.com” oraz „*.update.microsoft.com” (bez cudzysłowów). W witrynach tych udostępniane są aktualizacje. Ich zainstalowanie wymaga użycia formantu ActiveX.

Ustawienie dla stref zabezpieczeń Internet i Lokalny intranet poziomu zabezpieczeń „Wysoki”, aby przed uruchomieniem w nich formantu ActiveX lub wykonaniem aktywnego skryptu wyświetlany był monit

Przed skutkami tej luki można się uchronić, zmieniając ustawienia strefy zabezpieczeń Internet tak, aby przed uruchomieniem formantów ActiveX wyświetlany był monit. W tym celu należy ustawić poziom zabezpieczeń przeglądarki na Wysoki.

Aby podnieść poziom zabezpieczeń w przeglądarce Microsoft Internet Explorer, należy wykonać następujące czynności:

Uwaga Jeśli suwak nie jest widoczny, kliknij przycisk Poziom domyślny i przesuń suwak do pozycji Wysoki.

Uwaga Ustawienie poziomu „Wysoki" może spowodować nieprawidłowe działanie niektórych witryn sieci Web. W razie trudności z korzystaniem z witryny sieci Web po zmianie tego ustawienia przy pewności, że witryna taka jest bezpieczna, można ją dodać do listy witryn zaufanych. Witryna będzie wówczas działać poprawnie nawet przy poziomie zabezpieczeń Wysoki.

Wpływ obejścia: Wyświetlanie monitu przed uruchomieniem formantów ActiveX i wykonaniem aktywnego skryptu ma pewne efekty uboczne. W wielu dostępnych w Internecie lub w intranecie witrynach sieci Web formanty ActiveX i aktywne skrypty umożliwiają udostępnianie dodatkowych funkcji. Na przykład w witrynie, w której odbywa się handel elektroniczny w trybie online lub w witrynie bankowej, formanty ActiveX pozwalają na korzystanie z menu, formularzy zamówień czy nawet z wyciągów bankowych. Wyświetlanie monitów przed uruchomieniem formantów ActiveX i aktywnych skryptów to ustawienie globalne dotyczące wszystkich witryn internetowych i intranetowych. Po zastosowaniu tego obejścia monity będą pojawiać się bardzo często. Jeżeli odwiedzana witryna jest zaufana, po wyświetleniu każdego monitu należy kliknąć przycisk Tak, aby uruchomić formanty ActiveX lub aktywny skrypt. Aby wyłączyć monitowanie dla wszystkich takich witryn, należy wykonać kroki, które podano w sekcji „Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer”.

Dodawanie witryn, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer

Po skonfigurowaniu programu Internet Explorer do wyświetlania monitów przed uruchomieniem formantów ActiveX i wykonywaniem aktywnych skryptów w strefie Internet oraz Lokalny intranet należy dodać witryny zaufane do strefy Zaufane witryny. Umożliwi to dalsze korzystanie z zaufanych witryn sieci Web w taki sam sposób jak dotychczas, zapewniając jednocześnie ochronę przed atakiem z witryn niezaufanych. Zaleca się dodawanie do strefy witryn zaufanych tylko witryn o sprawdzonej zawartości.

W tym celu wykonaj następujące czynności:

Uwaga Dodaj witryny, co do których masz pewność, że nie zostaną z nich podjęte szkodliwe działania w celu zaatakowania tego komputera. W szczególności warto dodać witryny „*.windowsupdate.microsoft.com” oraz „*.update.microsoft.com” (bez cudzysłowów). W witrynach tych udostępniane są aktualizacje. Ich zainstalowanie wymaga użycia formantu ActiveX.

Poziom zabezpieczeń strefy internetowej jest ustawiany na Wysoki. Ustawienie to powoduje wyłączenie skryptów, formantów ActiveX, maszyny wirtualnej Java firmy Microsoft (MSJVM) oraz pobierania plików.

Wyłączane jest automatyczne wykrywanie witryn intranetowych. Ustawienie to powoduje przypisanie do strefy internetowej wszystkich intranetowych witryn sieci Web oraz ścieżek w standardzie UNC (Universal Naming Convention), które nie są wprost wymienione na liście Lokalna strefa intranetowa.

Wyłączane jest rozszerzenie Instalacja na żądanie oraz inne rozszerzenia przeglądarki niepochodzące z firmy Microsoft. Ustawienie to uniemożliwia automatyczne instalowanie składników za pośrednictwem stron sieci Web i zapobiega uruchamianiu rozszerzeń niepochodzących z firmy Microsoft.

Wyłączana jest zawartość multimedialna. To ustawienie uniemożliwia uruchamianie klipów muzycznych, animowanych oraz klipów wideo.

Osoba atakująca za pośrednictwem sieci Web, która chce wykorzystać tę lukę, może udostępniać witrynę zawierającą odpowiednią stronę sieci Web. Dodatkowo, witryny sieci Web, które akceptują lub udostępniają zawartość wprowadzoną przez użytkownika lub reklamy, jak również witryny niesprawdzone, mogą zawierać specjalnie spreparowane treści, które mogą wykorzystać lukę w zabezpieczeniach. Jednakże w żadnym przypadku osoba atakująca nie może zmusić użytkowników do odwiedzenia takich witryn. Musi natomiast przekonać użytkowników do odwiedzenia tej witryny, najczęściej zachęcając do kliknięcia łącza w wiadomości e-mail lub wiadomości błyskawicznej, które przekieruje użytkowników do witryny osoby atakującej.

Osoba atakująca, której uda się wykorzystać tę lukę, może uzyskać takie same uprawnienia, jak użytkownik lokalny. Użytkownicy, których konta zostały skonfigurowane w taki sposób, że mają niewielkie uprawnienia w systemie, ponoszą mniejsze ryzyko niż ci, którzy pracują z uprawnieniami administracyjnymi.

Domyślnie we wszystkich obsługiwanych wersjach programów Microsoft Outlook i Microsoft Outlook Express wiadomości e-mail w formacie HTML są domyślnie otwierane w strefie witryn z ograniczeniami. Strefa Witryny z ograniczeniami umożliwia zredukowanie liczby ataków osób usiłujących wykorzystać tę lukę, zapobiegając wykonywaniu aktywnych skryptów i wykorzystywaniu formantów ActiveX do odczytywania wiadomości e-mail w formacie HTML. Jeśli jednak użytkownik kliknie łącze znajdujące się w wiadomości e-mail, może być nadal zagrożony wykorzystującym tę lukę atakiem za pośrednictwem sieci Web.

Domyślnie program Internet Explorer w systemie Windows Server 2003 jest uruchamiany w trybie chronionym określanym jako Konfiguracja zwiększonych zabezpieczeń (j.ang.). W tym trybie poziom zabezpieczeń strefy Internet jest Wysoki. Jest to czynnik ograniczający zagrożenie w przypadku witryn sieci Web, których nie dodano do strefy witryn zaufanych programu Internet Explorer. Więcej informacji na temat konfiguracji zwiększonych zabezpieczeń w programie Internet Explorer można znaleźć w sekcji „Często zadawane pytania” dla tej aktualizacji zabezpieczeń.

Program Windows Internet Explorer 7 dla systemu Windows XP z dodatkiem Service Pack 2, Windows Internet Explorer 7 dla systemu Windows XP Professional x64 Edition, Windows Internet Explorer 7 dla systemu Windows Server 2003 z dodatkiem Service Pack 1, Windows Internet Explorer 7 dla systemu Windows Server 2003 z dodatkiem SP1 dla systemów z procesorem Itanium, Windows Internet Explorer 7 dla systemu Windows Server 2003 x64 Edition i Windows Internet Explorer 7 zainstalowany w systemie Windows Vista nie są zagrożone przez omawianą lukę w zabezpieczeniach.

Program Microsoft Internet Explorer 5.01 z dodatkiem Service Pack 4 w systemie Windows 2000 z dodatkiem Service Pack nie jest zagrożony przez omawianą lukę w zabezpieczeniach.

Wybranie takich ustawień programu Internet Explorer, aby przed każdym uruchomieniem aktywnych skryptów wyświetlany był monit lub aby aktywne skrypty były wyłączone w strefie zabezpieczeń Internet i Lokalny intranet

Przed skutkami tej luki można się chronić, zmieniając ustawienia tak, aby przed uruchomieniem aktywnych skryptów wyświetlany był monit lub aby aktywne skrypty były wyłączone w strefie zabezpieczeń Internet i Lokalny intranet. W tym celu wykonaj następujące czynności:

Uwaga Wyłączenie obsługi aktywnych skryptów w strefie zabezpieczeń Internet i Lokalny intranet może spowodować nieprawidłowe działanie niektórych witryn sieci Web. W razie trudności z korzystaniem z witryny sieci Web po zmianie tego ustawienia przy pewności, że witryna taka jest bezpieczna, można ją dodać do listy witryn zaufanych. Witryna będzie wówczas działać poprawnie.

Wpływ obejścia: Wyświetlanie monitu przed uruchomieniem aktywnych skryptów ma pewne efekty uboczne. W wielu dostępnych w Internecie lub w intranecie witrynach sieci Web aktywne skrypty umożliwiają udostępnianie dodatkowych funkcji. Na przykład w witrynie, w której odbywa się handel elektroniczny w trybie online lub w witrynie bankowej, wykonywanie aktywnych skryptów pozwala na korzystanie z menu, formularzy zamówień czy nawet z wyciągów bankowych. Wyświetlanie monitów przed uruchomieniem aktywnych skryptów to ustawienie globalne dotyczące wszystkich witryn internetowych i intranetowych. Po zastosowaniu tego obejścia monity będą pojawiać się bardzo często. Jeżeli odwiedzana witryna jest zaufana, po wyświetleniu każdego monitu należy kliknąć przycisk Tak, aby wykonać aktywny skrypt. Aby wyłączyć monitowanie dla wszystkich takich witryn, należy wykonać kroki, które podano w sekcji „Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer”.

Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer.

Po skonfigurowaniu programu Internet Explorer do wyświetlania monitów przed uruchomieniem formantów ActiveX i wykonywaniem aktywnych skryptów w strefie Internet oraz Lokalny intranet należy dodać witryny zaufane do strefy Zaufane witryny. Umożliwi to dalsze korzystanie z zaufanych witryn sieci Web w taki sam sposób jak dotychczas, zapewniając jednocześnie ochronę przed atakiem z witryn niezaufanych. Zaleca się dodawanie do strefy witryn zaufanych tylko witryn o sprawdzonej zawartości.

W tym celu wykonaj następujące czynności:

Uwaga Dodaj witryny, co do których masz pewność, że nie zostaną z nich podjęte szkodliwe działania w celu zaatakowania tego komputera. W szczególności warto dodać witryny „*.windowsupdate.microsoft.com” oraz „*.update.microsoft.com” (bez cudzysłowów). W witrynach tych udostępniane są aktualizacje. Ich zainstalowanie wymaga użycia formantu ActiveX.

Ustawienie dla stref zabezpieczeń Internet i Lokalny intranet poziomu zabezpieczeń „Wysoki”, aby przed uruchomieniem w nich formantu ActiveX lub wykonaniem aktywnego skryptu wyświetlany był monit

Przed skutkami tej luki można się chronić, zmieniając ustawienia strefy zabezpieczeń Internet tak, aby przed uruchamianiem formantów ActiveX i wykonywaniem aktywnych skryptów wyświetlany był monit. W tym celu należy ustawić poziom zabezpieczeń przeglądarki na Wysoki.

Aby podnieść poziom zabezpieczeń w przeglądarce Microsoft Internet Explorer, należy wykonać następujące czynności:

Uwaga Jeśli suwak nie jest widoczny, kliknij przycisk Poziom domyślny i przesuń suwak do pozycji Wysoki.

Uwaga Ustawienie poziomu Wysoki może spowodować nieprawidłowe działanie niektórych witryn sieci Web. W razie trudności z korzystaniem z witryny sieci Web po zmianie tego ustawienia przy pewności, że witryna taka jest bezpieczna, można ją dodać do listy witryn zaufanych. Witryna będzie wówczas działać poprawnie nawet przy poziomie zabezpieczeń Wysoki.

Wpływ obejścia: Wyświetlanie monitu przed uruchomieniem formantów ActiveX i wykonaniem aktywnego skryptu ma pewne efekty uboczne. W wielu dostępnych w Internecie lub w intranecie witrynach sieci Web formanty ActiveX i aktywne skrypty umożliwiają udostępnianie dodatkowych funkcji. Na przykład w witrynie, w której odbywa się handel elektroniczny w trybie online lub w witrynie bankowej, formanty ActiveX pozwalają na korzystanie z menu, formularzy zamówień czy nawet z wyciągów bankowych. Wyświetlanie monitów przed uruchomieniem formantów ActiveX i aktywnych skryptów to ustawienie globalne dotyczące wszystkich witryn internetowych i intranetowych. Po zastosowaniu tego obejścia monity będą pojawiać się bardzo często. Jeżeli odwiedzana witryna jest zaufana, po wyświetleniu każdego monitu należy kliknąć przycisk Tak, aby uruchomić formanty ActiveX lub aktywny skrypt. Aby wyłączyć monitowanie dla wszystkich takich witryn, należy wykonać kroki, które podano w sekcji „Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer”.

Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer.

Po skonfigurowaniu programu Internet Explorer do wyświetlania monitów przed uruchomieniem formantów ActiveX i wykonywaniem aktywnych skryptów w strefie Internet oraz Lokalny intranet należy dodać witryny zaufane do strefy Zaufane witryny. Umożliwi to dalsze korzystanie z zaufanych witryn sieci Web w taki sam sposób jak dotychczas, zapewniając jednocześnie ochronę przed atakiem z witryn niezaufanych. Zaleca się dodawanie do strefy witryn zaufanych tylko witryn o sprawdzonej zawartości.

W tym celu wykonaj następujące czynności:

Uwaga Dodaj witryny, co do których masz pewność, że nie zostaną z nich podjęte szkodliwe działania w celu zaatakowania tego komputera. W szczególności warto dodać witryny „*.windowsupdate.microsoft.com” oraz „*.update.microsoft.com” (bez cudzysłowów). W witrynach tych udostępniane są aktualizacje. Ich zainstalowanie wymaga użycia formantu ActiveX.

Poziom zabezpieczeń strefy internetowej jest ustawiany na Wysoki. Ustawienie to powoduje wyłączenie skryptów, formantów ActiveX, maszyny wirtualnej Java firmy Microsoft (MSJVM) oraz pobierania plików.

Wyłączane jest automatyczne wykrywanie witryn intranetowych. Ustawienie to powoduje przypisanie do strefy internetowej wszystkich intranetowych witryn sieci Web oraz ścieżek w standardzie UNC (Universal Naming Convention), które nie są wprost wymienione na liście Lokalna strefa intranetowa.

Wyłączane jest rozszerzenie Instalacja na żądanie oraz inne rozszerzenia przeglądarki niepochodzące z firmy Microsoft. Ustawienie to uniemożliwia automatyczne instalowanie składników za pośrednictwem stron sieci Web i zapobiega uruchamianiu rozszerzeń niepochodzących z firmy Microsoft.

Wyłączana jest zawartość multimedialna. To ustawienie uniemożliwia uruchamianie klipów muzycznych, animowanych oraz klipów wideo.

Aby luka ta została wykorzystana, użytkownik musi wykonywać odpowiednie czynności.

Osoba atakująca za pośrednictwem sieci Web, która chce wykorzystać te luki, może udostępnić witrynę zawierającą odpowiednią stronę sieci Web. Dodatkowo witryny sieci Web, które akceptują lub udostępniają zawartość wprowadzoną przez użytkownika lub reklamy, jak również witryny niesprawdzone, mogą zawierać specjalnie spreparowane treści, które mogą wykorzystać te luki w zabezpieczeniach. Jednakże w żadnym przypadku osoba atakująca nie może zmusić użytkowników do odwiedzenia takich witryn. Musi natomiast przekonać użytkowników do odwiedzenia tej witryny, najczęściej zachęcając do kliknięcia łącza w wiadomości e-mail lub wiadomości błyskawicznej, które przekieruje użytkowników do witryny osoby atakującej.

Domyślnie we wszystkich obsługiwanych wersjach programów Microsoft Outlook i Microsoft Outlook Express wiadomości e-mail w formacie HTML są domyślnie otwierane w strefie witryn z ograniczeniami. Strefa Witryny z ograniczeniami umożliwia zredukowanie liczby ataków osób usiłujących wykorzystać tę lukę, zapobiegając wykonywaniu aktywnych skryptów i wykorzystywaniu formantów ActiveX do odczytywania wiadomości e-mail w formacie HTML. Jeśli jednak użytkownik kliknie łącze znajdujące się w wiadomości e-mail, może być nadal zagrożony wykorzystującym tę lukę atakiem za pośrednictwem sieci Web.

Domyślnie program Internet Explorer w systemie Windows Server 2003 jest uruchamiany w trybie chronionym określanym jako Konfiguracja zwiększonych zabezpieczeń (j.ang.). W tym trybie poziom zabezpieczeń strefy Internet jest Wysoki. Jest to czynnik ograniczający zagrożenie w przypadku witryn sieci Web, których nie dodano do strefy witryn zaufanych programu Internet Explorer. Więcej informacji na temat konfiguracji zwiększonych zabezpieczeń w programie Internet Explorer można znaleźć w sekcji „Często zadawane pytania” dla tej aktualizacji zabezpieczeń.

Program Windows Internet Explorer 7 dla systemu Windows XP z dodatkiem Service Pack 2, Windows Internet Explorer 7 dla systemu Windows XP Professional x64 Edition, Windows Internet Explorer 7 dla systemu Windows Server 2003 z dodatkiem Service Pack 1, Windows Internet Explorer 7 dla systemu Windows Server 2003 z dodatkiem SP1 dla systemów z procesorem Itanium, Windows Internet Explorer 7 dla systemu Windows Server 2003 x64 Edition i Windows Internet Explorer 7 zainstalowany w systemie Windows Vista nie są zagrożone przez omawianą lukę w zabezpieczeniach.

Wyłączenie opcji „Przeciąganie i upuszczanie lub kopiowanie i wklejanie plików” w programie Internet Explorer

Wyłącz opcję Przeciąganie i upuszczanie lub kopiowanie i wklejanie plików w strefach zawartości sieci Web Internet i Intranet. Wyłącz opcję Przeciąganie i upuszczanie lub kopiowanie i wklejanie plików w strefach Internet i Lokalny intranet. W tym celu wykonaj następujące czynności:

Uwaga Powtórz powyższe czynności dla strefy Lokalny intranet, klikając w punkcie 2 ikonę Lokalny intranet zamiast Internet.

Wybranie takich ustawień programu Internet Explorer, aby przed każdym uruchomieniem aktywnych skryptów wyświetlany był monit lub aby aktywne skrypty były wyłączone w strefie zabezpieczeń Internet i Lokalny intranet

Przed skutkami tej luki można się chronić, zmieniając ustawienia tak, aby przed uruchomieniem aktywnych skryptów wyświetlany był monit lub aby aktywne skrypty były wyłączone w strefie zabezpieczeń Internet i Lokalny intranet. W tym celu wykonaj następujące czynności:

Uwaga Wyłączenie obsługi aktywnych skryptów w strefie zabezpieczeń Internet i Lokalny intranet może spowodować nieprawidłowe działanie niektórych witryn sieci Web. W razie trudności z korzystaniem z witryny sieci Web po zmianie tego ustawienia przy pewności, że witryna taka jest bezpieczna, można ją dodać do listy witryn zaufanych. Witryna będzie wówczas działać poprawnie.

Wpływ obejścia: Wyświetlanie monitu przed uruchomieniem aktywnych skryptów ma pewne efekty uboczne. W wielu dostępnych w Internecie lub w intranecie witrynach sieci Web aktywne skrypty umożliwiają udostępnianie dodatkowych funkcji. Na przykład w witrynie, w której odbywa się handel elektroniczny w trybie online lub w witrynie bankowej, wykonywanie aktywnych skryptów pozwala na korzystanie z menu, formularzy zamówień czy nawet z wyciągów bankowych. Wyświetlanie monitów przed uruchomieniem aktywnych skryptów to ustawienie globalne dotyczące wszystkich witryn internetowych i intranetowych. Po zastosowaniu tego obejścia monity będą pojawiać się bardzo często. Jeżeli odwiedzana witryna jest zaufana, po wyświetleniu każdego monitu należy kliknąć przycisk Tak, aby wykonać aktywny skrypt. Aby wyłączyć monitowanie dla wszystkich takich witryn, należy wykonać kroki, które podano w sekcji „Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer”.

Dodawanie witryn, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer

Po skonfigurowaniu programu Internet Explorer do wyświetlania monitów przed uruchomieniem formantów ActiveX i wykonywaniem aktywnych skryptów w strefie Internet oraz Lokalny intranet należy dodać witryny zaufane do strefy Zaufane witryny. Umożliwi to dalsze korzystanie z zaufanych witryn sieci Web w taki sam sposób jak dotychczas, zapewniając jednocześnie ochronę przed atakiem z witryn niezaufanych. Zaleca się dodawanie do strefy witryn zaufanych tylko witryn o sprawdzonej zawartości.

W tym celu wykonaj następujące czynności:

Uwaga Dodaj witryny, co do których masz pewność, że nie zostaną z nich podjęte szkodliwe działania w celu zaatakowania tego komputera. W szczególności warto dodać witryny „*.windowsupdate.microsoft.com” oraz „*.update.microsoft.com” (bez cudzysłowów). W witrynach tych udostępniane są aktualizacje. Ich zainstalowanie wymaga użycia formantu ActiveX.

Ustawienie dla stref zabezpieczeń Internet i Lokalny intranet poziomu zabezpieczeń „Wysoki”, aby przed uruchomieniem w nich formantu ActiveX lub wykonaniem aktywnego skryptu wyświetlany był monit

Przed skutkami tej luki można się uchronić, zmieniając ustawienia strefy zabezpieczeń Internet tak, aby przed uruchomieniem formantów ActiveX wyświetlany był monit. W tym celu należy ustawić poziom zabezpieczeń przeglądarki na Wysoki.

Aby podnieść poziom zabezpieczeń w przeglądarce Microsoft Internet Explorer, należy wykonać następujące czynności:

Uwaga Jeśli suwak nie jest widoczny, kliknij przycisk Poziom domyślny i przesuń suwak do pozycji Wysoki.

Uwaga Ustawienie poziomu „Wysoki" może spowodować nieprawidłowe działanie niektórych witryn sieci Web. W razie trudności z korzystaniem z witryny sieci Web po zmianie tego ustawienia przy pewności, że witryna taka jest bezpieczna, można ją dodać do listy witryn zaufanych. Witryna będzie wówczas działać poprawnie nawet przy poziomie zabezpieczeń Wysoki.

Wpływ obejścia: Wyświetlanie monitu przed uruchomieniem formantów ActiveX i wykonaniem aktywnego skryptu ma pewne efekty uboczne. W wielu dostępnych w Internecie lub w intranecie witrynach sieci Web formanty ActiveX i aktywne skrypty umożliwiają udostępnianie dodatkowych funkcji. Na przykład w witrynie, w której odbywa się handel elektroniczny w trybie online lub w witrynie bankowej, formanty ActiveX pozwalają na korzystanie z menu, formularzy zamówień czy nawet z wyciągów bankowych. Wyświetlanie monitów przed uruchomieniem formantów ActiveX i aktywnych skryptów to ustawienie globalne dotyczące wszystkich witryn internetowych i intranetowych. Po zastosowaniu tego obejścia monity będą pojawiać się bardzo często. Jeżeli odwiedzana witryna jest zaufana, po wyświetleniu każdego monitu należy kliknąć przycisk Tak, aby uruchomić formanty ActiveX lub aktywny skrypt. Aby wyłączyć monitowanie dla wszystkich takich witryn, należy wykonać kroki, które podano w sekcji „Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer”.

Dodawanie witryn, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer

Po skonfigurowaniu programu Internet Explorer do wyświetlania monitów przed uruchomieniem formantów ActiveX i wykonywaniem aktywnych skryptów w strefie Internet oraz Lokalny intranet należy dodać witryny zaufane do strefy Zaufane witryny. Umożliwi to dalsze korzystanie z zaufanych witryn sieci Web w taki sam sposób jak dotychczas, zapewniając jednocześnie ochronę przed atakiem z witryn niezaufanych. Zaleca się dodawanie do strefy witryn zaufanych tylko witryn o sprawdzonej zawartości.

W tym celu wykonaj następujące czynności:

Uwaga Dodaj witryny, co do których masz pewność, że nie zostaną z nich podjęte szkodliwe działania w celu zaatakowania tego komputera. W szczególności warto dodać witryny „*.windowsupdate.microsoft.com” oraz „*.update.microsoft.com” (bez cudzysłowów). W witrynach tych udostępniane są aktualizacje. Ich zainstalowanie wymaga użycia formantu ActiveX.

Poziom zabezpieczeń strefy internetowej jest ustawiany na Wysoki. Ustawienie to powoduje wyłączenie skryptów, formantów ActiveX, maszyny wirtualnej Java firmy Microsoft (MSJVM) oraz pobierania plików.

Wyłączane jest automatyczne wykrywanie witryn intranetowych. Ustawienie to powoduje przypisanie do strefy internetowej wszystkich intranetowych witryn sieci Web oraz ścieżek w standardzie UNC (Universal Naming Convention), które nie są wprost wymienione na liście Lokalna strefa intranetowa.

Wyłączane jest rozszerzenie Instalacja na żądanie oraz inne rozszerzenia przeglądarki niepochodzące z firmy Microsoft. Ustawienie to uniemożliwia automatyczne instalowanie składników za pośrednictwem stron sieci Web i zapobiega uruchamianiu rozszerzeń niepochodzących z firmy Microsoft.

Wyłączana jest zawartość multimedialna. To ustawienie uniemożliwia uruchamianie klipów muzycznych, animowanych oraz klipów wideo.

Osoba atakująca za pośrednictwem sieci Web, która chce wykorzystać te luki, może udostępnić witrynę zawierającą odpowiednią stronę sieci Web. Dodatkowo witryny sieci Web, które akceptują lub udostępniają zawartość wprowadzoną przez użytkownika lub reklamy, jak również witryny niesprawdzone, mogą zawierać specjalnie spreparowane treści, które mogą wykorzystać te luki w zabezpieczeniach. Jednakże w żadnym przypadku osoba atakująca nie może zmusić użytkowników do odwiedzenia takich witryn. Musi natomiast przekonać użytkowników do odwiedzenia tej witryny, najczęściej zachęcając do kliknięcia łącza w wiadomości e-mail lub wiadomości błyskawicznej, które przekieruje użytkowników do witryny osoby atakującej.

Domyślnie we wszystkich obsługiwanych wersjach programów Microsoft Outlook i Microsoft Outlook Express wiadomości e-mail w formacie HTML są domyślnie otwierane w strefie witryn z ograniczeniami. Strefa Witryny z ograniczeniami umożliwia zredukowanie liczby ataków osób usiłujących wykorzystać tę lukę, zapobiegając wykonywaniu aktywnych skryptów i wykorzystywaniu formantów ActiveX do odczytywania wiadomości e-mail w formacie HTML. Jeśli jednak użytkownik kliknie łącze znajdujące się w wiadomości e-mail, może być nadal zagrożony wykorzystującym tę lukę atakiem za pośrednictwem sieci Web.

Domyślnie program Internet Explorer w systemie Windows Server 2003 jest uruchamiany w trybie chronionym określanym jako Konfiguracja zwiększonych zabezpieczeń (j.ang.). W tym trybie poziom zabezpieczeń strefy Internet jest Wysoki. Jest to czynnik ograniczający zagrożenie w przypadku witryn sieci Web, których nie dodano do strefy witryn zaufanych programu Internet Explorer. Więcej informacji na temat konfiguracji zwiększonych zabezpieczeń w programie Internet Explorer można znaleźć w sekcji „Często zadawane pytania” dla tej aktualizacji zabezpieczeń.

Program Windows Internet Explorer 7 dla systemu Windows XP z dodatkiem Service Pack 2, Windows Internet Explorer 7 dla systemu Windows XP Professional x64 Edition, Windows Internet Explorer 7 dla systemu Windows Server 2003 z dodatkiem Service Pack 1, Windows Internet Explorer 7 dla systemu Windows Server 2003 z dodatkiem SP1 dla systemów z procesorem Itanium, Windows Internet Explorer 7 dla systemu Windows Server 2003 x64 Edition i Windows Internet Explorer 7 zainstalowany w systemie Windows Vista nie są zagrożone przez omawianą lukę w zabezpieczeniach.

Wybranie takich ustawień programu Internet Explorer, aby przed uruchomieniem formantów ActiveX wyświetlany był monit lub aby formanty ActiveX były wyłączone w strefie zabezpieczeń Internet i Lokalny intranet

Przed skutkami tych luk można się uchronić, zmieniając ustawienia programu Internet Explorer tak, aby przed uruchomieniem formantów ActiveX wyświetlany był monit. W tym celu wykonaj następujące czynności:

Wpływ obejścia: Wyświetlanie monitu przed uruchomieniem formantów ActiveX ma pewne efekty uboczne. W wielu dostępnych w Internecie lub w intranecie witrynach sieci Web formanty ActiveX umożliwiają udostępnianie dodatkowych funkcji. Na przykład w witrynie, w której odbywa się handel elektroniczny w trybie online lub w witrynie bankowej, formanty ActiveX pozwalają na korzystanie z menu, formularzy zamówień czy nawet z wyciągów bankowych. Wyświetlanie monitów przed uruchomieniem formantów ActiveX to ustawienie globalne dotyczące wszystkich witryn internetowych i intranetowych. Po zastosowaniu tego obejścia monity będą pojawiać się bardzo często. Jeżeli odwiedzana witryna jest zaufana, po wyświetleniu każdego monitu należy kliknąć przycisk Tak, aby uruchomić formanty ActiveX. Aby wyłączyć monitowanie dla wszystkich takich witryn, należy wykonać kroki, które podano w sekcji „Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer”.

Dodawanie witryn, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer

Po skonfigurowaniu programu Internet Explorer do wyświetlania monitów przed uruchomieniem formantów ActiveX i wykonywaniem aktywnych skryptów w strefie Internet oraz Lokalny intranet należy dodać witryny zaufane do strefy Zaufane witryny. Umożliwi to dalsze korzystanie z zaufanych witryn sieci Web w taki sam sposób jak dotychczas, zapewniając jednocześnie ochronę przed atakiem z witryn niezaufanych. Zaleca się dodawanie do strefy witryn zaufanych tylko witryn o sprawdzonej zawartości.

W tym celu wykonaj następujące czynności:

Uwaga Dodaj witryny, co do których masz pewność, że nie zostaną z nich podjęte szkodliwe działania w celu zaatakowania tego komputera. W szczególności warto dodać witryny „*.windowsupdate.microsoft.com” oraz „*.update.microsoft.com” (bez cudzysłowów). W witrynach tych udostępniane są aktualizacje. Ich zainstalowanie wymaga użycia formantu ActiveX.

Ustawienie dla stref zabezpieczeń Internet i Lokalny intranet poziomu zabezpieczeń „Wysoki”, aby przed uruchomieniem w nich formantu ActiveX lub wykonaniem aktywnego skryptu wyświetlany był monit

Przed skutkami tych luk można się chronić, zmieniając ustawienia internetowej strefy zabezpieczeń tak, aby przed uruchamianiem formantów ActiveX wyświetlany był monit. W tym celu należy ustawić poziom zabezpieczeń przeglądarki na Wysoki.

Aby podnieść poziom zabezpieczeń w przeglądarce Microsoft Internet Explorer, należy wykonać następujące czynności:

Uwaga Jeśli suwak nie jest widoczny, kliknij przycisk Poziom domyślny i przesuń suwak do pozycji Wysoki.

Uwaga Ustawienie poziomu Wysoki może spowodować nieprawidłowe działanie niektórych witryn sieci Web. W razie trudności z korzystaniem z witryny sieci Web po zmianie tego ustawienia przy pewności, że witryna taka jest bezpieczna, można ją dodać do listy witryn zaufanych. Witryna będzie wówczas działać poprawnie nawet przy poziomie zabezpieczeń Wysoki.

Wpływ obejścia: Wyświetlanie monitu przed uruchomieniem formantów ActiveX ma pewne efekty uboczne. W wielu dostępnych w Internecie lub w intranecie witrynach sieci Web formanty ActiveX umożliwiają udostępnianie dodatkowych funkcji. Na przykład w witrynie, w której odbywa się handel elektroniczny w trybie online lub w witrynie bankowej, formanty ActiveX pozwalają na korzystanie z menu, formularzy zamówień czy nawet z wyciągów bankowych. Wyświetlanie monitów przed uruchomieniem formantów ActiveX to ustawienie globalne dotyczące wszystkich witryn internetowych i intranetowych. Po zastosowaniu tego obejścia monity będą pojawiać się bardzo często. Jeżeli odwiedzana witryna jest zaufana, po wyświetleniu każdego monitu należy kliknąć przycisk Tak, aby uruchomić formanty ActiveX. Aby wyłączyć monitowanie dla wszystkich takich witryn, należy wykonać kroki, które podano w sekcji „Dodaj witryny, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer”.

Dodawanie witryn, którym można zaufać, do strefy witryn zaufanych programu Internet Explorer

Po skonfigurowaniu programu Internet Explorer do wyświetlania monitów przed uruchomieniem formantów ActiveX i wykonywaniem aktywnych skryptów w strefie Internet oraz Lokalny intranet należy dodać witryny zaufane do strefy Zaufane witryny. Umożliwi to dalsze korzystanie z zaufanych witryn sieci Web w taki sam sposób jak dotychczas, zapewniając jednocześnie ochronę przed atakiem z witryn niezaufanych. Zaleca się dodawanie do strefy witryn zaufanych tylko witryn o sprawdzonej zawartości.

W tym celu wykonaj następujące czynności:

Uwaga Dodaj witryny, co do których masz pewność, że nie zostaną z nich podjęte szkodliwe działania w celu zaatakowania tego komputera. W szczególności warto dodać witryny „*.windowsupdate.microsoft.com” oraz „*.update.microsoft.com” (bez cudzysłowów). W witrynach tych udostępniane są aktualizacje. Ich zainstalowanie wymaga użycia formantu ActiveX.

Poziom zabezpieczeń strefy internetowej jest ustawiany na Wysoki. Ustawienie to powoduje wyłączenie skryptów, formantów ActiveX, maszyny wirtualnej Java firmy Microsoft (MSJVM) oraz pobierania plików.

Wyłączane jest automatyczne wykrywanie witryn intranetowych. Ustawienie to powoduje przypisanie do strefy internetowej wszystkich intranetowych witryn sieci Web oraz ścieżek w standardzie UNC (Universal Naming Convention), które nie są wprost wymienione na liście Lokalna strefa intranetowa.

Wyłączane jest rozszerzenie Instalacja na żądanie oraz inne rozszerzenia przeglądarki niepochodzące z firmy Microsoft. Ustawienie to uniemożliwia automatyczne instalowanie składników za pośrednictwem stron sieci Web i zapobiega uruchamianiu rozszerzeń niepochodzących z firmy Microsoft.

Wyłączana jest zawartość multimedialna. To ustawienie uniemożliwia uruchamianie klipów muzycznych, animowanych oraz klipów wideo.