Главная страница TechNet > Центр безопасности TechNet > Бюллетени > Обзор бюллетеней по безопасности Microsoft за август 2009 г.

Бюллетень по безопасности Microsoft MS09-036 — существенный.

Уязвимость в ASP.NET в Microsoft Windows может привести к отказу в обслуживании (970957)

Опубликовано: 11 августа 2009 г. | Обновлено: 13 августа 2009 г.

Версия: 1.1

Общие сведения

Аннотация

Это обновление для системы безопасности устраняет обнаруженную пользователями уязвимость в Microsoft .NET Framework, компоненте Microsoft Windows, которая может привести к отказу в обслуживании. Злоумышленники могут воспользоваться этой уязвимостью только в том случае, если в подверженных ей версиях Microsoft Windows установлены службы IIS 7.0, а в среде ASP.NET настроено использование интегрированного режима. Злоумышленник может послать специально созданные анонимные HTTP-запросы, которые могут привести к тому, что уязвимый веб-сервер перестанет отвечать до тех пор, пока не будет перезапущен соответствующий пул приложений. Системы, в которых пулы приложений IIS 7.0 запущены в классическом режиме, не подвержены этой уязвимости.

Это обновление для системы безопасности имеет существенный уровень важности для всех уязвимых версий Microsoft Windows. Дополнительные сведения см. в подразделе Подвержены и не подвержены уязвимости данного раздела.

Это обновление устраняет уязвимость, изменяя способ управления постановкой запросов в очередь в ASP.NET. Дополнительные сведения об этой уязвимости см. в подразделе "Вопросы и ответы" раздела Сведения об уязвимости.

Рекомендация. У большинства клиентов включено автоматическое обновление, поэтому нет необходимости предпринимать какие-либо действия: данное обновление для системы безопасности загрузится и установится автоматически. Клиентам, у которых не включено автоматическое обновление, необходимо проверить наличие обновлений и установить это обновление вручную. Дополнительные сведения об особых параметрах конфигурации автоматического обновления см. в статье 294871 базы знаний Майкрософт.

При установке на предприятиях, а также администраторам или конечным пользователям, которым необходимо установить данное обновление для системы безопасности вручную, корпорация Майкрософт рекомендует сделать это немедленно, используя программное обеспечение для управления обновлениями или проверив наличие обновлений через службу Microsoft Update.

См. также раздел Руководство и средства по диагностике и развертыванию этого бюллетеня.

Известные проблемы. Отсутствует

Top of section

Подвержены и не подвержены уязвимости

Следующие продукты были проверены на наличие уязвимости в тех или иных версиях и выпусках. Прочие версии или выпуски не подвержены уязвимости, либо жизненные циклы их поддержки истекли. Сведения о жизненных циклах поддержки версий или выпусков используемых программных продуктов см. на веб-странице сроков поддержки продуктов Майкрософт.

Подвержены уязвимости

Операционная система	Компонент	Максимальное воздействие уязвимости	Общий уровень опасности	Бюллетени, которые заменяет это обновление
Windows Vista*	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 (KB972591) и Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и .NET Framework 3.5 с пакетом обновления 1 (SP1) (KB972592)	Отказ в обслуживании	Существенный	Отсутствует
Windows Vista с пакетом обновления 1 (SP1)*	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 (KB972593), а также Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) (KB972594)	Отказ в обслуживании	Существенный	Отсутствует
Windows Vista x64 Edition*	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 (KB972591) и Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и .NET Framework 3.5 с пакетом обновления 1 (SP1) (KB972592)	Отказ в обслуживании	Существенный	Отсутствует
Windows Vista x64 Edition с пакетом обновления 1 (SP1)*	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 (KB972593), а также Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) (KB972594)	Отказ в обслуживании	Существенный	Отсутствует
Windows Server 2008 для 32-разрядных систем **	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 (KB972593), а также Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) (KB972594)	Отказ в обслуживании	Существенный	Отсутствует
Windows Server 2008 для 64-разрядных систем **	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 (KB972593), а также Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) (KB972594)	Отказ в обслуживании	Существенный	Отсутствует
Windows Server 2008 для систем на базе процессоров Itanium	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 (KB972593), а также Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) (KB972594)	Отказ в обслуживании	Существенный	Отсутствует

* Поскольку службы IIS 7.0 не работают в ОС Windows Vista Starter и Windows Vista Home Basic, этой уязвимости не подвержены следующие версии: Windows Vista Starter (32-разрядная), Windows Vista Home Basic (32-разрядная) и Windows Vista Home Basic (64-разрядная).

** Не подверженные уязвимости системы Windows Server 2008, при развертывании которых устанавливались основные компоненты сервера. Поддерживаемые выпуски Windows Server 2008, при развертывании которых выбиралась установка основных компонентов сервера, не подвержены уязвимости, устраняемой этим обновлением. Дополнительные сведения об этом варианте установки см. в статье Основные компоненты сервера. Обратите внимание, что установка основных компонентов сервера недоступна в определенных выпусках Windows Server 2008; см. статью Сравнение параметров установки основных компонентов сервера.

Программное обеспечение, не подверженное уязвимости

Операционная система
Microsoft Windows 2000 с пакетом обновления 4 (SP4);
Windows XP с пакетом обновления 2 (SP2)
Windows XP с пакетом обновления 3 (SP3)
Windows XP Professional x64 Edition с пакетом обновления 2 (SP2)
Windows Server 2003 с пакетом обновления 2 (SP2)
Windows Server 2003 x64 Edition с пакетом обновления 2 (SP2)
Windows Server 2003 с пакетом обновления 2 (SP2) для систем на базе процессоров Itanium
Windows Vista с пакетом обновления 2 (SP2)
Windows Vista x64 Edition с пакетом обновления 2 (SP2)
Windows Server 2008 с пакетом обновления 2 (SP2) для 32-разрядных систем
Windows Server 2008 с пакетом обновления 2 (SP2) для 64-разрядных систем
Windows Server 2008 с пакетом обновления 2 (SP2) для систем на базе процессоров Itanium
Windows 7 для 32-разрядных систем
Windows 7 для 64-разрядных систем
Windows Server 2008 R2 для 64-разрядных систем
Windows Server 2008 R2 для систем на базе процессоров Itanium

Top of section

Часто задаваемые вопросы о данном обновлении для системы безопасности

Где находятся дополнительные сведения о файлах?
Местонахождение дополнительных сведений о файлах см. в справочных таблицах раздела Развертывание обновления для системы безопасности.

На моем компьютере установлена более ранняя версия программного обеспечения, описанного в этом бюллетене по безопасности. Что мне следует сделать?
Продукты, перечисленные в этом бюллетене, проверены на наличие уязвимости в тех или иных версиях. Жизненные циклы поддержки прочих версий программного обеспечения истекли. Сведения о жизненных циклах поддержки версий используемых программных продуктов см. на веб-странице сроков поддержки продуктов Майкрософт.

Пользователям более ранних версий программного обеспечения следует срочно перейти на поддерживаемые версии, чтобы снизить вероятность наличия в системе уязвимостей. Дополнительные сведения о жизненном цикле продуктов Windows см. на веб-странице сроков поддержки продуктов Майкрософт. Дополнительные сведения о продленном периоде поддержки обновлений для системы безопасности данных версий или выпусков продуктов можно найти на веб-сайте служб поддержки продуктов Майкрософт.

Для получения сведений о возможных вариантах обслуживания более ранних версий программного обеспечения свяжитесь с представителем группы по работе с заказчиками корпорации Майкрософт, менеджером по технической поддержке или представителем соответствующей партнерской компании. Пользователи, у которых нет договора типа Alliance, Premier или Authorized, могут обратиться в местное представительство корпорации Майкрософт. Для получения контактной информации посетите веб-сайт Microsoft Worldwide Information, выберите страну и нажмите кнопку Go (Перейти), чтобы вывести список телефонных номеров. Дозвонившись, попросите связать вас с местным менеджером по продажам службы поддержки Premier. Дополнительные сведения см. в разделе вопросов и ответов на веб-странице сроков поддержки продуктов для ОС Windows.

Почему ОС Windows Vista с пакетом обновления 2 (SP2) и Windows Server 2008 с пакетом обновления 2 (SP2) не подвержены уязвимости?
Исправление этой проблемы уже включено в версию Microsoft .NET Framework, которая поставляется в Windows Vista с пакетом обновления 2 (SP2) и Windows Server 2008 с пакетом обновления 2 (SP2).

Почему версии среды Microsoft .NET Framework 3.5 и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) подвержены этой уязвимости?
В состав Microsoft .NET Framework 3.5 входят подкомпоненты Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.0 с пакетом обновления 1 (SP1). В состав Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) входят подкомпоненты Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.0 с пакетом обновления 2 (SP2). В результате уязвимые подкомпоненты содержатся как в Microsoft .NET Framework 3.5, так и в Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1).

Почему мне не предлагается установить это обновление для системы безопасности при помощи функции автоматического обновления?
Установка этого обновления для системы безопасности предлагается только для компьютеров, на которых службы IIS 7.0 установлены в операционной системе, которая значится в таблице "Подвержены уязвимости". Это обновление не предлагается для установки через функцию автоматического обновления в системах, которые перечислены в разделе "Подвержены уязвимости" этого бюллетеня, но в которых не установлены службы IIS 7.0, поскольку этой уязвимостью можно воспользоваться, только когда установлены службы IIS 7.0.

Top of section

Сведения об уязвимости

Уровень опасности и идентификаторы уязвимости

Указанные ниже уровни опасности подразумевают максимальное потенциальное воздействие уязвимости. Сведения о вероятности использования уязвимости в течение 30 дней с момента выпуска данного бюллетеня с указанием ее уровня опасности и воздействия на систему безопасности см. в указателе использования уязвимостей обзора бюллетеней за август. Дополнительные сведения см. в указателе использования уязвимостей корпорации Майкрософт.

Уровень опасности уязвимости и максимальное воздействие уязвимого программного обеспечения
Подвержены уязвимости	Уязвимость в ASP.NET, связанная с вызовом отказа в обслуживании удаленными несанкционированными пользователями, – CVE-2009-1536	Общий уровень опасности
Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 в Windows Vista и Windows Vista с пакетом обновления 1 (SP1)	Существенный Отказ в обслуживании	Существенный
Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 в Windows Vista x64 Edition и Windows Vista x64 Edition с пакетом обновления 1 (SP1)	Существенный Отказ в обслуживании	Существенный
Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 в ОС Windows Server 2008	Существенный Отказ в обслуживании	Существенный
Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 в Windows Server 2008 x64 Edition	Существенный Отказ в обслуживании	Существенный
Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) и Microsoft .NET Framework 3.5 в Windows Server 2008 для систем на базе процессоров Itanium	Существенный Отказ в обслуживании	Существенный
Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в ОС Windows Vista и Windows Vista с пакетом обновления 1 (SP1)	Существенный Отказ в обслуживании	Существенный
Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в ОС Windows Vista x64 Edition и Windows Vista x64 Edition с пакетом обновления 1 (SP1)	Существенный Отказ в обслуживании	Существенный
Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в ОС Windows Server 2008*	Существенный Отказ в обслуживании	Существенный
Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Server 2008 x64 Edition*	Существенный Отказ в обслуживании	Существенный
Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) и Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Server 2008 для систем на базе процессоров Itanium	Существенный Отказ в обслуживании	Существенный

* Не подверженные уязвимости системы Windows Server 2008, при развертывании которых устанавливались основные компоненты сервера. Поддерживаемые выпуски Windows Server 2008, при развертывании которых выбиралась установка основных компонентов сервера, не подвержены уязвимости, устраняемой этим обновлением. Дополнительные сведения об этом варианте установки см. в статье Основные компоненты сервера. Обратите внимание, что установка основных компонентов сервера недоступна в определенных выпусках Windows Server 2008; см. статью Сравнение параметров установки основных компонентов сервера.

Top of section

Уязвимость в ASP.NET, связанная с вызовом отказа в обслуживании удаленными несанкционированными пользователями, – CVE-2009-1536

В управления постановкой запросов в очередь в среде ASP.NET существует уязвимость, связанная с вызовом отказа в обслуживании удаленными несанкционированными пользователями. Злоумышленник может воспользоваться этой уязвимостью, послав специально созданные анонимные HTTP-запросы, которые могут привести к тому, что уязвимый веб-сервер перестанет отвечать до тех пор, пока не будет перезапущен соответствующий пул приложений.

В перечне "Common Vulnerabilities and Exposures" этой уязвимости присвоен номер CVE-2009-1536.

Факторы, снижающие опасность уязвимости в ASP.NET, связанной с вызовом отказа в обслуживании удаленными несанкционированными пользователями, – CVE-2009-1536

К факторам, снижающим степень уязвимости, относятся параметры, стандартные конфигурации и общие рекомендации, реализованные в режиме по умолчанию и позволяющие снизить опасность использования уязвимости злоумышленниками. Следующие факторы могут снизить опасность использования уязвимости.

•	Уязвимым кодом в Microsoft .NET Framework можно воспользоваться только при помощи служб IIS 7.0. В системах, где службы IIS 7.0 не запущены, известное направление атаки отсутствует.
•	Системы, в которых пулы приложений IIS 7.0 запущены в классическом режиме, не подвержены этой уязвимости.

Top of section

Временное решение для уязвимости в ASP.NET, связанной с вызовом отказа в обслуживании удаленными несанкционированными пользователями, – CVE-2009-1536

К временным решениям относятся изменения параметров или конфигурации, не приводящие к полному устранению уязвимости, но позволяющие блокировать известные направления атак до того, как будет установлено обновление. Корпорация Майкрософт проверила представленные ниже временные решения и сообщила, снижают ли они функциональные возможности.

•

Переключение в собственный пул потоков IIS

Если среда ASP.NET 2.0 выполняется на базе служб IIS 7.0 в интегрированном режиме, обработка запросов средой ASP.NET выполняется на основе пула потоков общеязыковой среды выполнения (CLR). Системы, в которых вместо среды CLR для обработки этих запросов используется собственный пул потоков IIS 7.0, не подвержены этой проблеме. Дополнительные сведения см. в статье MSDN .NET: пул потоков среды CLR.

Настройте использование собственного пула потоков для обработки запросов в IIS 7.0, воспользовавшись одним из двух описанных ниже методов.

Метод 1. Укажите значение для раздела реестра maxConcurrentRequestsPerCPU

Эта настройка является глобальной и применяется всеми пулами приложений. Для того чтобы установить эту настройку для отдельных пулов приложений, см. второй метод, который описывается в этом разделе.

Примечание. Неправильное использование редактора реестра может привести к серьезным проблемам, для устранения которых может потребоваться переустановка операционной системы. Корпорация Microsoft не гарантирует решение проблем, возникших в результате неправильной работы с редактором реестра. Ответственность за использование редактора реестра несет пользователь. Сведения о порядке редактирования реестра см. в разделе справки "Изменение параметров и их значений" редактора реестра (Regedit.exe) или в разделах справки "Добавление и удаление данных в реестре" и "Редактирование данных реестра" программы Regedt32.exe.

Примечание. Корпорация Майкрософт рекомендует перед редактированием реестра сделать его резервную копию.

1.	Щелкните Пуск, щелкните Выполнить, наберите Regedit в окне Открыть, затем нажмите OK.
2.	Найдите и откройте следующий подраздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0
3.	В меню Правка выберите Создать и затем Раздел.
4.	Введите maxConcurrentRequestsPerCPU и нажмите клавишу Ввод.
5.	Щелкните раздел maxConcurrentRequestsPerCPU.
6.	В меню Правка выберите пункт Создать, а затем — пункт Параметр DWORD.
7.	Введите maxConcurrentRequestsPerCPU и нажмите клавишу Ввод.
8.	Чтобы изменить раздел реестра maxConcurrentRequestsPerCPU, в меню Правка выберите пункт Изменить.
9.	Введите 0 в поле Значение и нажмите кнопку ОК.
10.	Закройте редактор реестра.
11.	При помощи программы iisreset.exe перезапустите службы IIS на веб-сервере, на котором установлено приложение, выполнив в командной строке следующую команду: iisreset /restart

При помощи файла .REG определите значение раздела maxConcurrentRequestsPerCPU.

Редактор реестра Windows версии 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0]
"MaxConcurrentRequestsPerCPU"=dword:00000000

Для применения данного файла .reg на отдельной системе дважды щелкните его. Его также можно применить ко всем компьютерам домена, используя групповую политику. Дополнительные сведения о групповой политике можно найти на следующих веб-сайтах Майкрософт.
Набор групповых политик
Что такое редактор объектов групповой политики?
Основные средства и параметры групповой политики

Побочные эффекты В зависимости от особенностей приложений, запускаемых в этом пуле, может измениться их работоспособность.

Отмена изменений.

Отмена изменений вручную

1.	Щелкните Пуск, щелкните Выполнить, наберите Regedit в окне Открыть, затем нажмите OK. Найдите и откройте следующий подраздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0\maxConcurrentRequestsPerCPU
2.	Щелкните правой кнопкой мыши подраздел maxConcurrentRequestsPerCPU, выберите в контекстном меню пункт Удалить, а затем нажмите кнопку Да.
3.	Закройте редактор реестра. При помощи программы iisreset.exe перезапустите службы IIS на веб-сервере, на котором установлено приложение, выполнив в командной строке следующую команду: iisreset /restart

Отмена изменений при помощи файла .REG

Редактор реестра Windows версии 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0]
"MaxConcurrentRequestsPerCPU"=dword:00000000

Метод 2. Укажите значение раздела реестра maxConcurrentRequestsPerCPU для пула приложений в разделе конфигурации ASP.NET файла ASPNET.Config

Примечание. Это временное решение относится только к системам, в которых установлена среда Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или среда Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1). В прежних версиях среды Microsoft .NET Framework эти параметры из файла aspnet.config не считываются. Это значение переопределяет значение, указанное в ключе реестра maxConcurrentRequestsPerCPU.

Примечание. Для того чтобы отменить эти изменения, необходимо восстановить исходную версию файла aspnet.config. Перед внесением изменений создайте резервную копию файла.

Откройте файл aspnet.config для нужного пула приложений и введите новые значения для параметра maxConcurrentRequestsPerCPU:

<system.web>
<applicationPool maxConcurrentRequestsPerCPU="0"/>
</system.web>

Отмена изменений. Восстановите исходную версию файла aspnet.config.

Top of section

Вопросы и ответы об уязвимости в ASP.NET, связанной с вызовом отказа в обслуживании удаленными несанкционированными пользователями, – CVE-2009-1536

Какова область воздействия данной уязвимости?
Воспользовавшись этой уязвимостью, приводящей к отказу в обслуживании, злоумышленник может вызвать прекращение отклика веб-сервера.

В чем причина уязвимости? Эта уязвимость вызвана неверным управлением постановкой запросов в очередь в ASP.NET.

Что может сделать злоумышленник, который воспользуется этой уязвимостью?
Злоумышленник, успешно воспользовавшийся этой уязвимостью, может вызвать прекращение отклика веб-сервера до тех пор, пока не будет перезапущен соответствующий пул приложений. В результате веб-страницы, для создания которых используется среда ASP.NET в том же пуле приложений, будут недоступны, а сервер будет возвращать ошибку HTTP.

Атаки на подверженный этой уязвимости сервер не влияют на серверные функции, не зависящие от среды ASP.NET. К примеру, загрузка HTML-страниц будет выполняться в обычном режиме.

Эта уязвимость связана с отказом в обслуживании на уровне приложения. Для устранения последствий успешной атаки необходимо перезапустить службы IIS или соответствующий пул приложений; перезапуск операционной системы не требуется.

Что такое ASP.NET?
ASP.NET — это комплекс технологий на платформе Microsoft .NET Framework, позволяющих разработчикам создавать веб-приложения и веб-службы XML.

В отличие от обычных веб-страниц, использующих сочетание статического HTML и сценариев, ASP.NET использует скомпилированные страницы, управляемые событиями. Поскольку ASP.NET представляет собой веб-среду для приложений, для выполнения базовых функций обработки HTTP-запросов ей необходим веб-сервер; среда ASP.NET работает на сервере IIS. Дополнительные сведения см. на официальном веб-сайте Microsoft ASP.NET.

Чем отличаются интегрированный режим и классический режим в IIS 7.0?
В IIS 7.0 каждый веб-сайт, размещенный на сервере, может работать либо в интегрированном режиме, либо в классическом режиме. Интегрированный режим — это режим по умолчанию в IIS 7.0, который предоставляет более широкие возможности настройки контроля за процессом обработки запросов. Классический режим возвращается обратно к способу функционирования IIS 6.0, когда интегрированный режим еще не существовал. Дополнительные сведения см. в разделе Использование преимуществ интегрированного конвейера IIS 7.0.

Что такое пул приложений?
В службах IIS 7.0 пулом приложений называется группа, состоящая из одного или нескольких URL-адресов, которые обслуживаются одним рабочим процессом или набором рабочих процессов. Пулы приложений ограждают входящие в них приложения. Иными словами, приложения, которые относятся к данному пулу приложений, неспособны повлиять на приложения, которые входят в его состав. Дополнительные сведения см. в статье IIS 7.0: управление пулами приложений в IIS 7.0.

Каким образом злоумышленник может воспользоваться этой уязвимостью?
Злоумышленник может отправить уязвимой системе последовательность специально созданных HTTP-запросов, которые приведут к тому, что веб-сервер перестанет отвечать на запросы.

Какие системы в первую очередь подвергаются риску?
Риску подвергаются серверы, на которых настроен интегрированный режим работы ASP 2.0 и служб IIS 7.0.

Как действует обновление?
Это обновление изменяет способ управления постановкой запросов в очередь средой ASP.NET.

Было ли объявлено о данной уязвимости до выпуска этого бюллетеня по безопасности?
Нет. Корпорация Майкрософт получила сведения об этой уязвимости из достоверных источников. Корпорация Майкрософт не получала никакой информации, указывающей на то, что до выпуска этого бюллетеня безопасности было открыто объявлено о данной уязвимости.

Получала ли корпорация Майкрософт к моменту выпуска этого бюллетеня по безопасности какие-либо сведения о том, что уязвимость была использована злоумышленниками?
Да. Корпорации Майкрософт известно об ограниченном количестве направленных атак с целью использования этой уязвимости.

Top of section

Сведения об обновлении

Руководство и средства по диагностике и развертыванию

Управление программным обеспечением и обновлениями для системы безопасности, которые развертываются на серверах, настольных и мобильных компьютерах организации. Дополнительные сведения см. на веб-сайте Центра управления обновлениями TechNet. Дополнительные сведения о безопасности продуктов корпорации Майкрософт см. на веб-сайте Microsoft TechNet Security.

Обновления для системы безопасности доступны в Центре обновления Майкрософт и Центре обновления Windows. Обновления для системы безопасности также доступны на веб-сайте Центра загрузки Майкрософт. Самый простой способ найти обновление — выполнить поиск по ключевому слову "security update".

Наконец, обновления для системы безопасности можно загрузить из каталога Центра обновления Майкрософт. Он обеспечивает возможность поиска содержимого (в том числе обновлений для системы безопасности, драйверов и пакетов обновления), которое предоставляется через Центр обновления Windows и Центр обновления Майкрософт. При поиске по номеру бюллетеня по безопасности (например, MS07-036) можно добавлять необходимые обновления (в том числе на различных языках) в корзину и загружать их в указанную папку. Дополнительные сведения см. на веб-сайте каталога Центра обновления Майкрософт в разделе вопросов и ответов.

Примечание. Начиная с 1 августа 2009 г. Майкрософт прекращает поддержку центра загрузки Office и средства инвентаризации центра загрузки Office. Чтобы продолжить получать последние обновления для продуктов Microsoft Office, используйте веб-сайт Центра обновления Майкрософт. Дополнительные сведения см. на веб-странице Центр загрузки Microsoft Office: вопросы и ответы.

Руководство по диагностике и развертыванию

Корпорация Майкрософт предоставляет руководство по диагностике и развертыванию обновлений для системы безопасности. В этом руководстве содержатся рекомендации и сведения, позволяющие ИТ-специалистам оптимальнее использовать различные средства для диагностики и развертывания обновлений для системы безопасности. Дополнительные сведения см. в статье 961747 базы знаний Майкрософт.

Анализатор безопасности Microsoft Baseline Security Analyzer

Анализатор безопасности Microsoft Baseline Security Analyzer (MBSA) позволяет администраторам проверять локальные и удаленные системы с целью выявления неустановленных обновлений для системы безопасности и типичных ошибок в конфигурации системы безопасности. Дополнительные сведения об анализаторе безопасности MBSA см. на веб-сайте Microsoft Baseline Security Analyzer.

В следующей таблице приведены сведения об обнаружении данного обновления безопасности с помощью программы MBSA.

Программное обеспечение	MBSA 2.1
Windows Vista и Windows Vista с пакетом обновления 1 (SP1)	Да
Windows Vista x64 Edition и Windows Vista x64 Edition с пакетом обновления 1 (SP1)	Да
Windows Server 2008 для 32-разрядных систем	Да
Windows Server 2008 для 64-разрядных систем	Да
Windows Server 2008 для систем на базе процессоров Itanium	Да

Дополнительные сведения об анализаторе безопасности MBSA 2.1 см. в статье MBSA 2.1: вопросы и ответы (на английском языке).

Службы Windows Server Update Services

Службы Windows Server Update Services (WSUS) позволяют администраторам развертывать последние критические обновления и обновления для системы безопасности системы Windows 2000 и более поздних версий, пакета Office XP и более поздних версий, а также серверов Exchange Server 2003 и SQL Server 2000. Дополнительные сведения о развертывании этого обновления для системы безопасности с помощью служб WSUS см. на веб-сайте служб Windows Server Update Services.

Сервер Systems Management Server

В следующей таблице приведены сведения об обнаружении и развертывании данного обновления для системы безопасности с помощью программы SMS.

Программное обеспечение	SMS 2.0	SMS 2003 со средством SUIT	SMS 2003 со средством ITMU	Диспетчер конфигураций 2007
Windows Vista и Windows Vista с пакетом обновления 1 (SP1)	Нет	Нет	Да*	Да
Windows Vista x64 Edition и Windows Vista x64 Edition с пакетом обновления 1 (SP1)	Нет	Нет	Да*	Да
Windows Server 2008 для 32-разрядных систем	Нет	Нет	Да*	Да
Windows Server 2008 для 64-разрядных систем	Нет	Нет	Да*	Да
Windows Server 2008 для систем на базе процессоров Itanium	Нет	Нет	Да*	Да

Для обнаружения обновлений для системы безопасности серверами SMS 2.0 и SMS 2003 может использоваться средство SUIT (Security Update Inventory Tool). См. также веб-страницу Загружаемые компоненты для сервера Systems Management Server 2.0 (на английском языке).

Сервер SMS 2003 может использовать средство SMS 2003 Inventory Tool for Microsoft Updates, чтобы обнаруживать обновления для системы безопасности, предлагаемые на веб-сайте Центра обновления Майкрософт и поддерживаемые службами Windows Server Update Services. Дополнительные сведения о SMS 2003 ITMU см. на веб-странице средства SMS 2003 ITMU. Дополнительные сведения о средствах сканирования SMS см. на веб-странице средств сканирования обновлений ПО для сервера SMS 2003. См. также веб-страницу загружаемых компонентов для сервера Systems Management Server 2003.

Диспетчер конфигураций System Center Configuration Manager 2007 использует службы WSUS 3.0 для обнаружения обновлений. Дополнительные сведения об управлении обновлениями программного обеспечения с помощью диспетчера конфигураций System Center Configuration Manager 2007 см. на веб-сайте System Center Configuration Manager 2007.

* Примечание для Windows Vista и Windows Server 2008 Сервер Microsoft Systems Management Server 2003 с пакетом обновления 3 (SP3) поддерживает системы Windows Vista и Windows Server 2008.

Для получения дополнительных сведений о SMS посетите веб-сайт SMS.

Дополнительные сведения см. в статье 910723 базы знаний Майкрософт, "Сводный список ежемесячных руководств, посвященных определению наличия и развертыванию".

Средство оценки совместимости обновлений и набор средств для обеспечения совместимости приложений

Часто обновления записываются в одни те же файлы, а для запуска приложений требуется настроить параметры реестра. Это приводит к возникновению несовместимостей и увеличивает время, затрачиваемое на развертывание обновлений для системы безопасности. Облегчить тестирование и проверку обновлений Windows для установленных приложений можно с помощью компонентов оценки совместимости обновлений, входящих в состав набора средств для обеспечения совместимости приложений.

Набор средств для обеспечения совместимости приложений содержит необходимые средства и документацию для выявления проблем совместимости приложений и уменьшения степени воздействия этих проблем перед развертыванием системы Microsoft Windows Vista, обновлений из Центра обновления Windows, обновлений с веб-сайта безопасности Майкрософт или новой версии проводника.

Top of section

Развертывание обновления для системы безопасности

Подвержены уязвимости

Чтобы получить сведения о нужной версии обновления для системы безопасности, щелкните соответствующую ссылку.

Windows Vista (все выпуски)

Вспомогательная таблица

В приведенной ниже таблице приведены сведения об обновлении для системы безопасности данного программного обеспечения. Дополнительные сведения см. в подразделе Сведения о развертывании данного раздела.

Включение в будущие пакеты обновления	Обновление для устранения этой уязвимости будет включено в следующий пакет обновления или накопительный пакет обновления
Развертывание
Установка обновления без участия пользователя	Для Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в Windows Vista: Windows6.0-KB972591-x86 /quiet
	Для Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в ОС Windows Vista: Windows6.0-KB972592-x86 /quiet
	Для Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в ОС Windows Vista с пакетом обновления 1 (SP1): Windows6.0-KB972593-x86 /quiet
	Для Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в ОС Windows Vista с пакетом обновления 1 (SP1): Windows6.0-KB972594-x86 /quiet
	Для Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в ОС Windows Vista x64 Edition: Windows6.0-KB972591-x64 /quiet
	Для Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Vista x64 Edition: Windows6.0-KB972592-x64 /quiet
	Для Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в ОС Windows Vista x64 Edition с пакетом обновления 1 (SP1): Windows6.0-KB972593-x64 /quiet
	Для Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Vista x64 Edition с пакетом обновления 1 (SP1): Windows6.0-KB972594-x64 /quiet
Установка обновления без перезагрузки компьютера	Для Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в Windows Vista: Windows6.0-KB972591-x86 /quiet /norestart
	Для Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в ОС Windows Vista: Windows6.0-KB972592-x86 /quiet /norestart
	Для Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в ОС Windows Vista с пакетом обновления 1 (SP1): Windows6.0-KB972593-x86 /quiet /norestart
	Для Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в ОС Windows Vista с пакетом обновления 1 (SP1): Windows6.0-KB972594-x86 /quiet /norestart
	Для Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в ОС Windows Vista x64 Edition: Windows6.0-KB972591-x64 /quiet /norestart
	Для Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Vista x64 Edition: Windows6.0-KB972592-x64 /quiet /norestart
	Для Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в ОС Windows Vista x64 Edition с пакетом обновления 1 (SP1): Windows6.0-KB972593-x64 /quiet /norestart
	Для Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Vista x64 Edition с пакетом обновления 1 (SP1): Windows6.0-KB972594-x64 /quiet /norestart
Дополнительные сведения	См. подраздел Руководство и средства по диагностике и развертыванию
Необходимость перезагрузки
Требуется перезагрузка?	Это обновление не требует перезагрузки компьютера. Программа установки автоматически останавливает необходимые службы, устанавливает обновление и снова запускает их. Если по какой-либо причине требуемые службы не могут быть остановлены или требуемые файлы используются другими приложениями, то после установки данного обновления компьютер необходимо перезагрузить. В этом случае появляется соответствующее сообщение.
Функция Hotpatching	не применимо.
Сведения об удалении	Программа WUSA.exe не поддерживает удаление обновлений. Чтобы удалить обновление, установленное программой WUSA, в Панели управления откройте раздел Безопасность. В разделе "Центр обновления Windows" выберите пункт Просмотр установленных обновлений и выберите нужное из списка обновлений.
Сведения о файлах	См. статью 970957 базы знаний Майкрософт.
Проверка параметров системного реестра	Примечание. Раздел реестра, позволяющий проверить наличие этого обновления, не существует.

Сведения о развертывании

Установка обновления

При установке этого обновления для системы безопасности проверяется, не выполнялось ли обновление этого файла (файлов) ранее с помощью исправления Microsoft.

Для получения подробных сведений о терминологии, встречающейся в этом бюллетене, например, исправление, обратитесь к статье 824684 базы знаний Майкрософт.

Обновление для системы безопасности поддерживает следующие параметры командной строки.

Поддерживаемые параметры установки программы обновления безопасности
Параметр	Описание
/?, /h, /help	Вывод справки о поддерживаемых параметрах.
/quiet	Подавление отображения сообщений о состоянии или ошибке.
/norestart	При вводе с параметром /quiet система не перезагрузится после установки, даже если для ее завершения требуется перезагрузка.

Примечание. Дополнительные сведения об установщике wusa.exe см. в статье 934307 базы знаний Майкрософт.

Проверка успешного применения обновления

•

Анализатор безопасности Microsoft Baseline Security Analyzer

Для проверки успешного применения обновления безопасности можно воспользоваться средством Microsoft Baseline Security Analyzer (MBSA). Дополнительные сведения см. выше в разделе "Руководство и средства по диагностике и развертыванию" данного бюллетеня.

•

Проверка версий файлов

Эти действия зависят от установленного выпуска Microsoft Windows. В случае затруднений для выполнения процедуры обратитесь к документации по установленной версии продукта.

1.	Нажмите кнопку Пуск и затем введите имя файла обновления в поле Начать поиск.
2.	Когда файл появится в меню Программы, щелкните имя файла правой кнопкой мыши и выберите пункт Свойства.
3.	Сравните размер файла на вкладке Общие с данными таблиц сведений о файлах, приведенных в разделе статьи базы знаний этого бюллетеня.
4.	Также можно открыть вкладку Дополнительно и сравнить версии файлов и дату их изменения с данными, приведенными в таблицах сведений о файлах раздела статьи базы знаний этого бюллетеня.
5.	Наконец, также можно открыть вкладку Предыдущие версии и сравнить предыдущие версии файлов с данными о новых или обновленных версиях.

Top of section

Windows Server 2008, все выпуски

Вспомогательная таблица

Включение в будущие пакеты обновления	Обновление для устранения этой уязвимости будет включено в следующий пакет обновления или накопительный пакет обновления
Развертывание
Установка обновления без участия пользователя	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в Windows Server 2008 для 32-разрядных систем Windows6.0-KB972593-x86 /quiet
	Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Server 2008 для 32-разрядных систем Windows6.0-KB972594-x86 /quiet
	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в Windows Server 2008 для 64-разрядных (x64) систем Windows6.0-KB972593-x64 /quiet
	Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Server 2008 для 64-разрядных (x64) систем Windows6.0-KB972594-x64 /quiet
	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в Windows Server 2008 для систем на базе процессоров Itanium Windows6.0-KB972593-ia64 /quiet
	Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Server 2008 для систем на базе процессоров Itanium Windows6.0-KB972594-ia64 /quiet
Установка обновления без перезагрузки компьютера	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в Windows Server 2008 для 32-разрядных систем Windows6.0-KB972593-x86 /quiet /norestart
	Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Server 2008 для 32-разрядных систем Windows6.0-KB972594-x86 /quiet /norestart
	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в Windows Server 2008 для 64-разрядных (x64) систем Windows6.0-KB972593-x64 /quiet /norestart
	Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Server 2008 для 64-разрядных (x64) систем Windows6.0-KB972594-x64 /quiet /norestart
	Microsoft .NET Framework 2.0 с пакетом обновления 1 (SP1) или Microsoft .NET Framework 3.5 в Windows Server 2008 для систем на базе процессоров Itanium Windows6.0-KB972593-ia64 /quiet /norestart
	Microsoft .NET Framework 2.0 с пакетом обновления 2 (SP2) или Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1) в Windows Server 2008 для систем на базе процессоров Itanium Windows6.0-KB972594-ia64 /quiet /norestart
Дополнительные сведения	См. подраздел Руководство и средства по диагностике и развертыванию
Необходимость перезагрузки
Требуется перезагрузка?	Это обновление не требует перезагрузки компьютера. Программа установки автоматически останавливает необходимые службы, устанавливает обновление и снова запускает их. Если по какой-либо причине требуемые службы не могут быть остановлены или требуемые файлы используются другими приложениями, то после установки данного обновления компьютер необходимо перезагрузить. В этом случае появляется соответствующее сообщение.
Функция Hotpatching	не применимо.
Сведения об удалении	Программа WUSA.exe не поддерживает удаление обновлений. Чтобы удалить обновление, установленное программой WUSA, в Панели управления откройте раздел Безопасность. В разделе "Центр обновления Windows" выберите пункт Просмотр установленных обновлений и выберите нужное из списка обновлений.
Сведения о файлах	См. статью 970957 базы знаний Майкрософт.
Проверка параметров системного реестра	Примечание. Раздел реестра, позволяющий проверить наличие этого обновления, не существует.

Сведения о развертывании

Установка обновления

Обновление для системы безопасности поддерживает следующие параметры командной строки.

Поддерживаемые параметры установки программы обновления безопасности
Параметр	Описание
/?, /h, /help	Вывод справки о поддерживаемых параметрах.
/quiet	Подавление отображения сообщений о состоянии или ошибке.
/norestart	При вводе с параметром /quiet система не перезагрузится после установки, даже если для ее завершения требуется перезагрузка.

Примечание. Дополнительные сведения об установщике wusa.exe см. в статье 934307 базы знаний Майкрософт.

Проверка успешного применения обновления

•

Анализатор безопасности Microsoft Baseline Security Analyzer

•

Проверка версий файлов

1.	Нажмите кнопку Пуск и затем введите имя файла обновления в поле Начать поиск.
2.	Когда файл появится в меню Программы, щелкните имя файла правой кнопкой мыши и выберите пункт Свойства.
3.	Сравните размер файла на вкладке Общие с данными таблиц сведений о файлах, приведенных в разделе статьи базы знаний этого бюллетеня.
4.	Также можно открыть вкладку Дополнительно и сравнить версии файлов и дату их изменения с данными, приведенными в таблицах сведений о файлах раздела статьи базы знаний этого бюллетеня.
5.	Наконец, также можно открыть вкладку Предыдущие версии и сравнить предыдущие версии файлов с данными о новых или обновленных версиях.

Top of section

Прочие сведения

Благодарности

Корпорация Майкрософт благодарит за проведенную совместно работу по защите пользователей:

•	Александра Пфандта (Alexander Pfandt) из компании Digitaria за сообщение об уязвимости в ASP.NET, связанной с вызовом отказа в обслуживании удаленными несанкционированными пользователями (CVE-2009-1536)

Top of section

Microsoft Active Protections Program (MAPP)

Чтобы повысить уровень защиты пользователей, корпорация Майкрософт предоставляет сведения об уязвимостях крупным поставщикам программного обеспечения безопасности перед ежемесячным выпуском обновлений. Эта информация необходима им для усовершенствования программного обеспечения и оборудования для защиты пользователей (антивирусных программ, сетевых систем обнаружения вторжений, а также индивидуальных систем предотвращения вторжений). Сведения о новых средствах защиты, предоставляемых поставщиками программного обеспечения безопасности, доступны на соответствующих веб-сайтах партнеров, перечисленных в списке партнеров MAPP.

Top of section

Поддержка

•

Пользователи из США и Канады могут обратиться в службу поддержки по вопросам безопасности или позвонить по телефону 1-866-PCSAFETY. Звонки, связанные с обновлениями безопасности, обслуживаются бесплатно. Дополнительные сведения о вариантах поддержки см. на веб-сайте справки и поддержки корпорации Майкрософт.

•

Пользователям в других странах для получения поддержки следует обращаться в местные представительства корпорации Майкрософт. Звонки, связанные с обновлениями безопасности, обслуживаются бесплатно. Для получения дополнительных сведений о службе поддержки корпорации Майкрософт посетите веб-сайт международной поддержки.

Top of section

Заявление об отказе

Сведения в статьях базы знаний Майкрософт предоставляются без каких-либо гарантий. Корпорация Майкрософт не предоставляет каких-либо гарантий, явных или подразумеваемых, включая любые гарантии товарности или пригодности для использования в определенных целях. Корпорация Майкрософт и ее поставщики ни при каких обстоятельствах не несут ответственности за возможный ущерб, включая косвенный, случайный, прямой, опосредованный и специальный ущерб, а также упущенную выгоду, даже если корпорация Майкрософт или ее поставщики заранее были извещены о возможности такого ущерба. Если действующее законодательство не допускает отказа от ответственности за косвенный или случайный ущерб, то описанные выше ограничения не действуют.

Top of section

Редакции

•

Версия 1.0 (11 августа 2009 г.). Бюллетень опубликован.

•

Версия 1.1 (13 августа 2009 г.). В разделе Часто задаваемые вопросы о данном обновлении для системы безопасности уточнено, что установка этого обновления для системы безопасности предлагается, только когда установлены службы IIS 7.0. В часто задаваемые вопросы в разделе Уязвимость в ASP.NET, связанная с вызовом отказа в обслуживании удаленными несанкционированными пользователями, – CVE-2009-1536 добавлена информация о различиях между интегрированным режимом и классическим режимом в IIS 7.0. Это изменение носит исключительно информационный характер. Пользователям, успешно установившим это обновление для своих систем, повторная установка не требуется.

Top of section

К началу страницы