Главная страница TechNet > Центр безопасности TechNet > Бюллетени > Обзор бюллетеней по безопасности Microsoft за август 2009 г.

Бюллетень по безопасности Microsoft MS09-046 — критический

Уязвимость элемента управления ActiveX компонента редактирования DHTML делает возможным удаленное выполнение кода (956844)

Опубликовано: 9 августа 2009 | Обновлено: 14.10.2009

Версия: 1.1

Общие сведения

Аннотация

Настоящее обновление для системы безопасности устраняет обнаруженную пользователями уязвимость в элементе управления ActiveX компонента редактирования DHTML. Злоумышленник может воспользоваться данной уязвимостью с помощью специально созданной веб-страницы Просмотр этой страницы пользователем может привести к удаленному выполнению кода. Злоумышленник, воспользовавшийся этой уязвимостью, может получить те же права, что и вошедший в систему пользователь. Риск для пользователей, учетные записи которых имеют ограниченные права, меньше, чем для пользователей, работающих с правами администратора.

Настоящее обновление для системы безопасности является критическим для всех поддерживаемых версий Microsoft Windows 2000 и Windows XP и средней важности — для всех поддерживаемых версий Windows Server 2003. Дополнительные сведения см. в подразделе Подвержены и не подвержены уязвимости далее в этом разделе.

Настоящее обновление устраняет упомянутую уязвимость путем изменения способа, которым данный элемент управления ActiveX производит форматирование HTML-разметки. Дополнительные сведения об этой уязвимости см. в подразделе ответов на часто задаваемые вопросы раздела Сведения об уязвимости.

Рекомендация. У большинства пользователей включено автоматическое обновление; им нет необходимости предпринимать какие-либо действия: данное обновление для системы безопасности загрузится и установится автоматически. Пользователям, у которых не включено автоматическое обновление, необходимо проверить наличие обновлений и вручную установить настоящее обновление. Дополнительные сведения об особых параметрах конфигурации автоматического обновления см. в статье 294871 базы знаний Майкрософт.

При установке на предприятиях, а также администраторам или конечным пользователям, которые хотят применить данное обновление для системы безопасности вручную, корпорация Майкрософт рекомендует сделать это немедленно, используя программное обеспечение для управления обновлениями или проверив его наличие в Центре обновления Майкрософт.

См. также раздел Руководство и средства по диагностике и развертыванию этого бюллетеня.

Известные проблемы. Н/Д

Top of section

Подвержены и не подвержены уязвимости

Следующие продукты были проверены на наличие уязвимости в тех или иных версиях и выпусках. Прочие версии или выпуски не подвержены уязвимости, либо жизненные циклы их поддержки истекли. Сведения о жизненных циклах поддержки версий или выпусков используемых программных продуктов см. на веб-узле Microsoft Support Lifecycle.

Подвержены уязвимости

Операционная система	Максимальное воздействие уязвимости	Общий уровень опасности	Бюллетени, которые заменяет это обновление
Microsoft Windows 2000 с пакетом обновления 4 (SP4)	удаленное выполнение кода	Критический	Н/Д
Windows XP с пакетом обновления 2 (SP2) или 3 (SP3)	удаленное выполнение кода	Критический	Н/Д
Windows XP Professional x64 Edition с пакетом обновления 2 (SP2)	удаленное выполнение кода	Критический	Н/Д
Windows Server 2003 с пакетом обновления 2 (SP2)	удаленное выполнение кода	Средний	Н/Д
Windows Server 2003 x64 Edition с пакетом обновления 2 (SP2)	удаленное выполнение кода	Средний	Н/Д
Windows Server 2003 с пакетом обновления 2 (SP2) для систем на базе процессоров Itanium	удаленное выполнение кода	Средний	Н/Д

Не подвержены уязвимости

Операционная система
Windows Vista, Windows Vista с пакетом обновления 1 (SP1) и Windows Vista с пакетом обновления 2 (SP2)
Windows Vista x64 Edition, Windows Vista x64 Edition с пакетом обновления 1 (SP1) и Windows Vista x64 Edition с пакетом обновления 2 (SP2)
Windows Server 2008 для 32-разрядных систем и Windows Server 2008 с пакетом обновления 2 (SP2) для 32-разрядных систем
Windows Server 2008 для 64-разрядных систем и Windows Server 2008 с пакетом обновления 2 (SP2) для 64-разрядных систем
Windows Server 2008 для систем на базе процессоров Itanium и Windows Server 2008 с пакетом обновления 2 (SP2) для систем на базе процессоров Itanium
Windows 7 для 32-разрядных систем
Windows 7 для 64-разрядных систем
Windows Server 2008 R2 для 64-разрядных систем
Windows Server 2008 R2 для систем с процессорами Itanium

Top of section

Вопросы и ответы о данном обновлении безопасности

Где найти дополнительные сведения о файлах?
Местонахождение дополнительных сведений о файлах см. в справочных таблицах раздела Развертывание обновления для системы безопасности.

Какое отношение эта уязвимость имеет к уязвимостям, описанным в бюллетене MS09-037?
Данная уязвимость не имеет отношения к уязвимостям библиотеки Microsoft ATL, подробной освещенным в бюллетене MS09-037. Наличие уязвимости в элементе управления ActiveX компонента редактирования DHTML не является следствием использования уязвимой версии библиотеки ATL.

На моем компьютере установлена более ранняя версия программного обеспечения, описанного в этом бюллетене по безопасности. Что мне следует сделать?
Продукты, перечисленные в этом бюллетене, проверены на наличие уязвимости в тех или иных версиях. Жизненные циклы поддержки прочих версий программного обеспечения истекли. Сведения о жизненных циклах поддержки версий используемых программных продуктов можно найти на веб-узле Microsoft Support Lifecycle.

Пользователям более ранних версий программного обеспечения следует срочно перейти на поддерживаемые версии, чтобы снизить вероятность наличия в системе уязвимостей. Дополнительные сведения о жизненном цикле продуктов Windows см. на веб-узле Правила по срокам поддержки продуктов Microsoft. Дополнительные сведения о продленном периоде поддержки обновлений для системы безопасности данных версий или выпусков продуктов можно найти на веб-узле службы технической поддержки Microsoft (на английском языке).

Для получения сведений о возможных вариантах обслуживания более ранних версий программного обеспечения свяжитесь с представителем группы по работе с заказчиками корпорации Майкрософт, менеджером по технической поддержке или представителем соответствующей партнерской компании. Пользователи, у которых нет договора типа Alliance, Premier или Authorized, могут обратиться в местное представительство корпорации Майкрософт. Для получения контактной информации посетите веб-узел Microsoft Worldwide Information (на английском языке) выберите страну и нажмите кнопку Go (Перейти), чтобы вывести список телефонных номеров. Дозвонившись, попросите связать вас с менеджером по продажам службы поддержки Premier. Дополнительную информацию можно получить в разделеWindows Operating System Product Support Lifecycle FAQ.

Top of section

Сведения об уязвимости

Уровень опасности и идентификаторы уязвимости

Указанные ниже уровни опасности подразумевают максимальное потенциальное воздействие уязвимости. Сведения о вероятности использования данной уязвимости в течение 30 дней с момента выпуска настоящего бюллетеня по безопасности с указанием уровня ее опасности и воздействия на систему см. в индексе использования уязвимостей в сентябрьском обзоре бюллетеней. Дополнительные сведения см. в индексе использования уязвимостей.

Уровень опасности уязвимости и максимальное воздействие уязвимого программного обеспечения
Подвержены уязвимости	Уязвимость элемента управления ActiveX компонента редактирования DHTML, — CVE-2009-2519	Общий уровень опасности
Microsoft Windows 2000 с пакетом обновления 4 (SP4);	Критический удаленное выполнение кода	Критический
Windows XP с пакетом обновления 2 (SP2) или 3 (SP3)	Критический удаленное выполнение кода	Критический
Windows XP Professional x64 Edition с пакетом обновления 2 (SP2)	Критический удаленное выполнение кода	Критический
Windows Server 2003 с пакетом обновления 2 (SP2)	Средний удаленное выполнение кода	Средний
Windows Server 2003 x64 Edition с пакетом обновления 2 (SP2)	Средний удаленное выполнение кода	Средний
Windows Server 2003 с пакетом обновления 2 (SP2) для систем на базе процессоров Itanium	Средний удаленное выполнение кода	Средний

Top of section

Уязвимость элемента управления ActiveX компонента редактирования DHTML, — CVE-2009-2519

В элементе управления ActiveX компонента редактирования DHTML имеется уязвимость, которая делает возможным удаленное выполнение кода. Злоумышленник может воспользоваться данной уязвимостью с помощью специально созданной веб-страницы Просмотр этой страницы пользователем может привести к удаленному выполнению кода. Злоумышленник, воспользовавшийся этой уязвимостью, может получить те же права, что и вошедший в систему пользователь.

Если пользователь вошел в систему с правами администратора, то злоумышленник, которому удалось воспользоваться уязвимостью, может установить полный контроль над системой. что позволит ему устанавливать программы, просматривать, изменять и уничтожать данные или создавать новые учетные записи с неограниченными полномочиями. Риск для пользователей, учетные записи которых имеют ограниченные права, меньше, чем для пользователей, работающих с правами администратора.

В перечне Common Vulnerabilities and Exposures этой уязвимости присвоен номер CVE-2009-2519.

Факторы, снижающие опасность уязвимости элемента управления ActiveX компонента редактирования DHTML, — CVE-2009-2519

К факторам, снижающим опасность уязвимости, относятся параметр, стандартная конфигурация или общие рекомендации, которые при использовании по умолчанию могут снизить опасность использования уязвимости. Следующие факторы могут снизить опасность использования уязвимости.

•	В случае атаки через Интернет злоумышленник может разместить в сети веб-сайт, содержащий веб-страницу, предназначенную для использования данной уязвимости. Кроме того, веб-узлы, которые подверглись атаке злоумышленника и веб-узлы, которые принимают или размещают сведения или рекламу, могут иметь специальное содержимое, использующее данную уязвимость. В любом случае злоумышленник не может заставить пользователей посетить эти веб-узлы. Он старается склонить их к этому, убеждая, как правило, щелкнуть ссылку, ведущую на веб-узел, в сообщении электронной почты или программы обмена мгновенными сообщениями.
•	Злоумышленник, успешно воспользовавшийся данной уязвимостью, может получить те же самые права, которые имеет локальный пользователь. Риск для пользователей, учетные записи которых имеют ограниченные права, меньше, чем для пользователей, работающих с правами администратора.
•	По умолчанию все поддерживаемые версии программ Microsoft Outlook и Microsoft Outlook Express открывают сообщения электронной почты в формате HTML в зоне "Ограниченные узлы". Зона "Ограниченные узлы" помогает снизить вероятность атак с использованием этой уязвимости, предотвращая применение активных сценариев и элементов ActiveX при просмотре электронной почты в формате HTML. Тем не менее, если пользователь щелкнет ссылку в сообщении электронной почты, он может подвергнуть систему атаке через Интернет.
•	По умолчанию Internet Explorer в Windows Server 2003 и Windows Server 2008 работает в ограниченном режиме, называемом конфигурацией усиленной безопасности. В этом режиме для уровня безопасности зоны "Интернет" устанавливается значение Высокий. Это один из факторов, снижающих опасность уязвимости веб-узлов, которые не добавлены в зону "Надежные узлы" обозревателя Internet Explorer. Дополнительные сведения о конфигурации усиленной безопасности обозревателя Internet Explorer см. в подразделе "Часто задаваемые вопросы" раздела, посвященного данной уязвимости.

Top of section

Временные решения, устраняющие уязвимость элемента управления ActiveX компонента редактирования DHTML, — CVE-2009-2519

К методам обхода уязвимости относятся параметр или изменение конфигурации, которые не приводят к устранению уязвимости, но могут блокировать известные направления атак, прежде чем обновление будет установлено. Корпорация Майкрософт проверила представленные ниже методы обхода проблемы и сообщила, снижают ли они функциональные возможности.

•

Предотвращение запуска COM-объекта элемента управления ActiveX компонента DHTML в Internet Explorer

Чтобы предотвратить попытки создания экземпляров COM-объектов элемента управления ActiveX компонента DHTML, установите соответствующий флаг блокировки в системном реестре.

Внимание! Неправильное использование редактора реестра может привести к серьезным проблемам, для решения которых может потребоваться переустановка операционной системы. Корпорация Майкрософт не может гарантировать, что вы сумеете устранить проблемы, возникшие вследствие неправильного использования редактора реестра. Ответственность за использование редактора реестра несет пользователь.

Подробное описание действий по предотвращению запуска элемента управления в Internet Explorer см. в статье 240797 базы знаний Майкрософт. Чтобы задать в реестре значение флагов совместимости, позволяющее предотвратить запуск COM-объектов в Internet Explorer, следуйте инструкциям, приведенным в этой статье.

Чтобы установить флаг блокировки класса CLSID со значением {2D360201-FFF5-11D1-8D03-00A0C959BC0A} для элемента управления ActiveX компонента редактирования DHTML, вставьте приведенный ниже текст в текстовый редактор, например Блокнот. Затем сохраните файл с расширением .reg.

Редактор реестра Windows версии 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{2D360201-FFF5-11D1-8D03-00A0C959BC0A}] "Compatibility Flags"=dword:00000400

Для применения данного файла .reg на отдельной системе дважды щелкните его. Его также можно применить ко всем компьютерам домена, используя групповую политику. Дополнительные сведения о групповой политике можно найти на следующих веб-сайтах Майкрософт.

•	Набор групповых политик
•	Что такое редактор объектов групповой политики?
•	Основные средства и параметры групповой политики

Примечание. Чтобы изменения вступили в силу, необходимо перезапустить обозреватель Internet Explorer.

Побочные эффекты: Побочные эффекты отсутствуют, поскольку COM-объекты элемента управления ActiveX компонента DHTML не предназначены для использования в Internet Explorer.

•

Установка в качестве уровня безопасности для зон "Интернет" и "Местная интрасеть" значения "Высокий", с тем система запрашивала разрешение на запуск в них элементов ActiveX и активных сценариев

Повысить степень защиты от этой уязвимости можно путем изменения параметров зоны безопасности "Интернет" для выдачи запроса перед запуском элементов ActiveX и активных сценариев. Это можно сделать, установив для уровня безопасности браузера значение Высокий.

Для повышения уровня безопасности работы в обозревателе Internet Explorer выполните указанные ниже действия.

1.	В меню Сервис Internet Explorer выберите Свойства обозревателя.
2.	В диалоговом окне Свойства обозревателя выберите вкладку Безопасность, затем значок Интернет.
3.	Передвиньте ползунок в области Уровень безопасности для этой зоны на Высокий. В результате для уровня безопасности всех посещаемых веб-узлов будет установлено значение «Высокий».

Примечание. Если ползунка нет, щелкните По умолчанию и передвиньте ползунок в положение Высокий.

Примечание. Установка высокого уровня безопасности может привести к неправильной работе некоторых веб-узлов. Если имеются трудности в использовании веб-узла после изменения уровня безопасности и есть уверенность в безопасности данного узла, его можно добавить в список надежных узлов. Это позволит сайту работать правильно даже при высоком уровне безопасности.

Побочные эффекты. Предварительный запрос пользователя перед выполнением элементов управления ActiveX и активных сценариев имеет побочные эффекты. Элементы управления ActiveX или активные сценарии используются многими веб-сайтами в Интернете и местной интрасети для обеспечения дополнительных функциональных возможностей. К примеру, на веб-сайте электронной коммерции или веб-сайте банка элементы управления ActiveX могут применяться для отображения меню, форм заказа или даже для вывода выписок с банковских счетов клиентов. Установка режима предварительного запроса перед запуском элементов управления ActiveX или активных сценариев носит глобальный характер, отражающийся на работе со всеми сайтами Интернета или местных интрасетей. Использование этого обходного пути приводит к частому выводу запросов пользователю. При каждом таком запросе нажмите кнопку Да, если вы доверяете посещаемому веб-сайту, чтобы запустить элементы управления ActiveX или активные сценарии. Если вы не хотите получать запросы по каждому сайту, выполните действия, указанные в разделе "Добавление веб-сайтов, не вызывающих никаких опасений, в зону "Надежные узлы" Internet Explorer".

Добавьте веб-узлы, не вызывающие никаких опасений, в зону "Надежные узлы" обозревателя Internet Explorer

После установки в обозревателе Internet Explorer требования выводить запрос перед выполнением элементов управления ActiveX и активных сценариев в зонах "Интернет" и "Местная интрасеть" можно добавить узлы, не вызывающие опасений, в зону "Надежные узлы" обозревателя Internet Explorer. Это позволит продолжать, как и прежде, использовать надежные веб-узлы, способствуя при этом защите от атак со стороны ненадежных узлов. Корпорация Майкрософт рекомендует добавлять в зону «Надежные узлы» только те узлы, которые не вызывают никаких опасений.

Чтобы сделать это, выполните следующие действия:

1.	В меню Сервис Internet Explorer выберите Свойства обозревателя и перейдите на вкладку Безопасность.
2.	Выберите Надежные узлы в поле Выберите зону Интернета, чтобы присвоить ей уровень безопасности, а затем нажмите кнопку Узлы.
3.	Если необходимо добавить узлы, для которых не требуется шифрованный канал, снимите флажок Для всех узлов этой зоны требуется проверка серверов (https:).
4.	Введите URL-адрес сайта, которому вы доверяете, в поле Добавить узел в зону, а затем нажмите кнопку Добавить.
5.	Повторите эту процедуру для каждого из добавляемых в данную зону веб-узлов.
6.	Нажмите дважды кнопку ОК, чтобы вернуться в основное окно обозревателя Internet Explorer.

Примечание. Добавляйте любые узлы, которые можно считать не представляющими угрозу для компьютера. В частности, можно добавить сайты *.windowsupdate.microsoft.com и *.update.microsoft.com. Они содержат обновления, для установки которых требуется элемент ActiveX.

•

Настройте обозреватель Internet Explorer на выдачу запроса перед выполнением активных сценариев или отключите их для зон безопасности "Интернет" и "Местная интрасеть"

Чтобы защититься от данной уязвимости, измените значения параметров, запретив запуск активных сценариев без вывода запроса или отключив активные сценарии для зон безопасности "Интернет" и "Местная интрасеть". Чтобы сделать это, выполните следующие действия:

1.	В меню Сервис обозревателя Internet Explorer выберите пункт Свойства обозревателя.
2.	Откройте вкладку Безопасность.
3.	Выберите пункт Интернет, затем нажмите кнопку Другой.
4.	В списке Параметры в подразделе Активные сценарии раздела Сценарии выберите значение Предлагать или Отключить и нажмите кнопку ОК.
5.	Выберите пункт Местная интрасеть, а затем нажмите кнопку Другой.
6.	В списке Параметры в подразделе Активные сценарии раздела Сценарии выберите значение Предлагать или Отключить и нажмите кнопку ОК.
7.	Нажмите дважды кнопку OK, чтобы вернуться в окно обозревателя Internet Explorer.

Примечание. Отключение активных сценариев для зон безопасности "Интернет" и "Местная интрасеть" может привести к неправильной работе некоторых веб-узлов. Если имеются трудности в использовании веб-узла после изменения уровня безопасности и есть уверенность в безопасности данного узла, его можно добавить в список надежных узлов. Это обеспечит правильную работу сайта.

Побочные эффекты. Предварительный запрос пользователя перед запуском активных сценариев имеет побочные эффекты. Элементы управления ActiveX используются многими веб-узлами в Интернете и в местной интрасети для обеспечения дополнительных функциональных возможностей. К примеру, на веб-сайте электронного магазина или банка активные сценарии могут применяться для отображения меню, форм заказа и даже для формирования выписок с банковских счетов клиентов. Установка режима предварительного запроса перед запуском активных сценариев носит глобальный характер, отражающийся на работе со всеми сайтами Интернета или местных интрасетей. Использование этого обходного пути приводит к частому выводу запросов пользователю. При каждом таком запросе, если вы доверяете посещаемому сайту, щелкните кнопку Да, чтобы запустить активный сценарий. Если вы не хотите получать запросы по каждому сайту, выполните действия, указанные в разделе "Добавление веб-сайтов, не вызывающих никаких опасений, в зону "Надежные узлы" Internet Explorer".

Добавьте веб-узлы, не вызывающие никаких опасений, в зону "Надежные узлы" обозревателя Internet Explorer

Чтобы сделать это, выполните следующие действия:

1.	В меню Сервис Internet Explorer выберите Свойства обозревателя и перейдите на вкладку Безопасность.
2.	Выберите Надежные узлы в поле Выберите зону Интернета, чтобы присвоить ей уровень безопасности, а затем нажмите кнопку Узлы.
3.	Если необходимо добавить узлы, для которых не требуется шифрованный канал, снимите флажок Для всех узлов этой зоны требуется проверка серверов (https:).
4.	Введите URL-адрес сайта, которому вы доверяете, в поле Добавить узел в зону, а затем нажмите кнопку Добавить.
5.	Повторите эту процедуру для каждого из добавляемых в данную зону веб-узлов.
6.	Нажмите дважды кнопку ОК, чтобы вернуться в основное окно обозревателя Internet Explorer.

Top of section

Часто задаваемые вопросы об уязвимости элемента управления ActiveX компонента редактирования DHTML, — CVE-2009-2519

Какова область воздействия этой уязвимости?
Эта уязвимость связана с запуском программного кода в удаленном режиме. Данная уязвимость делает возможным удаленное выполнение кода при открытии в Internet Explorer специально созданной веб-страницы, что приводит к созданию экземпляра уязвимого элемента управления на компьютере пользователя. Злоумышленник, воспользовавшийся этой уязвимостью, может получить те же права, что и вошедший в систему пользователь.

В чем причина уязвимости?
Установка экземпляра элемента управления ActiveX компонента редактирования DHTML в Internet Explorer может привести к такому повреждению системы, при котором злоумышленник сможет выполнить любой произвольный код.

Что такое элемент управления ActiveX компонента редактирования DHTML?
Элемент управления ActiveX компонента редактирования DHTML – это HTML-редактор, который можно использовать для программной поддержки динамического HTML-редактирования веб-страниц. Дополнительную информацию об элементе управления ActiveX компонента редактирования DHTML см. в одноименном разделе в статье MSDN, посвященной основам редактирования в среде MSHTML.

Снижается ли опасность подвергнуться риску использования этой уязвимости при работе с Internet Explorer в системе Windows Server 2003 или Windows Server 2008?
Да. По умолчанию Internet Explorer в Windows Server 2003 и Windows Server 2008 работает в ограниченном режиме, называемом конфигурацией усиленной безопасности. Конфигурация усиленной безопасности Internet Explorer — это группа предварительно настроенных параметров, снижающих для пользователей и администраторов риск загрузить или выполнить на сервере специально созданное веб-содержимое. Это один из факторов, снижающих опасность уязвимости веб-узлов, которые не добавлены в зону "Надежные узлы" обозревателя Internet Explorer. См. также руководство Managing Internet Explorer Enhanced Security Configuration (Управление конфигурацией усиленной безопасности обозревателя Internet Explorer).

Что может сделать злоумышленник, который воспользуется этой уязвимостью?
Злоумышленник, воспользовавшийся этой уязвимостью, может получить те же права, что и вошедший в систему пользователь. Риск для пользователей, учетные записи которых имеют ограниченные права, меньше, чем для пользователей, работающих с правами администратора.

Каким образом злоумышленник может воспользоваться этой уязвимостью?
Злоумышленник может создать специальный веб-сайт, предназначенный для использования данной уязвимости через Internet Explorer, а затем убедить пользователя посетить этот веб-сайт. Уязвимостью можно также воспользоваться через веб-узлы, которые подверглись атаке злоумышленника, и веб-узлы, которые принимают или размещают сведения или рекламу. Веб-узлы могут включать специальное содержимое, использующее данную уязвимость. В любом случае злоумышленник не может заставить пользователей посетить эти веб-узлы. Он старается склонить пользователей к этому, обычно убеждая их щелкнуть ссылку, ведущую на его веб-узел, в сообщении электронной почты или в запросе службы мгновенных сообщений. Специально созданное веб-содержимое можно также отобразить и передать на уязвимые системы посредством рекламных объявлений или иными способами.

Какие системы в первую очередь подвержены риску?
Вредоносное действие возможно только при посещении пользователем веб-сайтов после входа в систему. Поэтому все системы, в которых часто используется Internet Explorer, например, рабочие станции или серверы терминалов, подвержены наибольшему риску из-за этой уязвимости.

Как действует обновление?
Настоящее обновление устраняет упомянутую уязвимость путем изменения способа, которым данный элемент управления ActiveX производит форматирование HTML-разметки.

Было ли объявлено о этой уязвимости до выпуска настоящего бюллетеня по безопасности?
Нет. Корпорация Майкрософт получила сведения об этой уязвимости из достоверных источников. Корпорация Майкрософт не получала никакой информации, указывающей на то, что до выпуска этого бюллетеня безопасности было открыто объявлено о данной уязвимости.

Получала ли корпорация Майкрософт к моменту выпуска этого бюллетеня по безопасности какие-либо сведения о том, что уязвимость была использована злоумышленниками?
Нет. Корпорация Майкрософт не получала никакой информации, указывающей на то, что эта уязвимость была открыто использована для атак на пользователей, и ей не были представлены никакие доказательства публикации концептуального кода до первоначального выпуска этого бюллетеня безопасности.

Top of section

Сведения об обновлении

Руководство и средства по диагностике и развертыванию

Управление программным обеспечением и обновлениями для системы безопасности, которые развертываются на серверах, настольных и мобильных компьютерах организации. Дополнительные сведения см. на веб-узле центра TechNet Update Management Center. Дополнительные сведения о безопасности продуктов корпорации Майкрософт см. на веб-сайте Microsoft TechNet Security.

Обновления для системы безопасности доступны в Центре обновления Майкрософт и Центре обновления Windows. Обновления для системы безопасности также доступны на веб-узле центра загрузки Microsoft. Самый простой способ найти обновление — выполнить поиск по ключевому слову security update.

Наконец, обновления для системы безопасности можно загрузить из каталога Центра обновления Майкрософт. Он обеспечивает возможность поиска содержимого (в том числе обновлений для системы безопасности, драйверов и пакетов обновления), которое предоставляется через Центр обновления Windows и Центр обновления Майкрософт. При поиске по номеру бюллетеня по безопасности (например, MS07-036) можно добавлять необходимые обновления (в том числе на различных языках) в корзину и загружать их в указанную папку. Дополнительные сведения см. на веб-узле Каталог Центра обновления Майкрософт в разделе "Вопросы и ответы".

Примечание. С 1 августа 2009 г. корпорация Майкрософт прекратила поддержку центра загрузки Office и средства инвентаризации центра загрузки Office. Теперь все последние обновления для продуктов Microsoft Office можно получить в Центре обновления Майкрософт. Дополнительные сведения см. на веб-странице Центр загрузки Microsoft Office: вопросы и ответы.

Руководство по диагностике и развертыванию

Корпорация Майкрософт предоставляет руководство по диагностике и развертыванию обновлений для системы безопасности. В этом руководстве содержатся рекомендации и сведения, позволяющие ИТ-специалистам оптимальнее использовать различные средства для диагностики и развертывания обновлений для системы безопасности. Дополнительные сведения см. в статье 961747 базы знаний Майкрософт.

Анализатор безопасности Microsoft Baseline Security Analyzer

Анализатор безопасности Microsoft Baseline Security Analyzer (MBSA) позволяет администраторам проверять локальные и удаленные системы с целью выявления неустановленных обновлений для системы безопасности и типичных ошибок в конфигурации системы безопасности. Дополнительные сведения об анализаторе безопасности MBSA см. на веб-узле Microsoft Baseline Security Analyzer (на английском языке).

В следующей таблице приведены сведения об обнаружении данного обновления безопасности с помощью программы MBSA.

Программное обеспечение	MBSA 2.1
Microsoft Windows 2000 с пакетом обновления 4 (SP4);	Да.
Windows XP с пакетом обновления 2 (SP2) или 3 (SP3)	Да.
Windows XP Professional x64 Edition с пакетом обновления 2 (SP2)	Да.
Windows Server 2003 с пакетом обновления 2 (SP2)	Да.
Windows Server 2003 x64 Edition с пакетом обновления 2 (SP2)	Да.
Windows Server 2003 с пакетом обновления 2 (SP2) для систем на базе процессоров Itanium	Да.

Дополнительные сведения об анализаторе безопасности MBSA 2.1 см. в статье MBSA 2.1: вопросы и ответы.

Службы Windows Server Update Services

Службы Windows Server Update Services (WSUS) позволяют администраторам развертывать последние критические обновления и обновления для системы безопасности системы Windows 2000 и более поздних версий, пакета Office XP и более поздних версий, а также серверов Exchange Server 2003 и SQL Server 2000. Дополнительные сведения о развертывании этого обновления для системы безопасности с помощью служб WSUS см. на веб-сайте служб Windows Server Update Services.

Сервер Systems Management Server

В следующей таблице приведены сведения об обнаружении и развертывании данного обновления для системы безопасности с помощью программы SMS.

Программное обеспечение	SMS 2.0	SMS 2003 со средством SUIT	SMS 2003 со средством ITMU	Диспетчер конфигураций 2007
Microsoft Windows 2000 с пакетом обновления 4 (SP4);	Да.	Да.	Да.	Да.
Windows XP с пакетом обновления 2 (SP2) или 3 (SP3)	Да.	Да.	Да.	Да.
Windows XP Professional x64 Edition с пакетом обновления 2 (SP2)	Нет.	Нет.	Да.	Да.
Windows Server 2003 с пакетом обновления 2 (SP2)	Да.	Да.	Да.	Да.
Windows Server 2003 x64 Edition с пакетом обновления 2 (SP2)	Нет.	Нет.	Да.	Да.
Windows Server 2003 с пакетом обновления 2 (SP2) для систем на базе процессоров Itanium	Нет.	Нет.	Да.	Да.

Для обнаружения обновлений для системы безопасности серверами SMS 2.0 и SMS 2003 может использоваться средство SUIT (Security Update Inventory Tool). См. также веб-страницу Загружаемые компоненты для сервера Systems Management Server 2.0 (на английском языке).

Сервер SMS 2003 может использовать средство SMS 2003 Inventory Tool for Microsoft Updates, чтобы обнаруживать обновления для системы безопасности, предлагаемые на веб-сайте Центра обновления Майкрософт и поддерживаемые службами Windows Server Update Services. Дополнительные сведения о SMS 2003 ITMU см. на веб-странице средства SMS 2003 ITMU. Сервер SMS 2003 также может использовать средство Microsoft Office Inventory Tool для поиска необходимых обновлений для приложений Microsoft Office. Дополнительные сведения о средстве Office Inventory Tool и прочих средствах сканирования см. на веб-узле Средства Software Update Scanning Tool для сервера SMS 2003 (на английском языке). См. также веб-страницу загружаемых компонентов для сервера Systems Management Server 2003.

Диспетчер конфигураций System Center Configuration Manager 2007 использует службы WSUS 3.0 для обнаружения обновлений. Дополнительные сведения об управлении обновлениями программного обеспечения с помощью диспетчера конфигураций System Center Configuration Manager 2007 см. на веб-сайте System Center Configuration Manager 2007.

Для получения дополнительных сведений о SMS посетите веб-узел SMS.

Дополнительные сведения см. в статье 910723 базы знаний Майкрософт. Обзор ежемесячных статей руководства по диагностике и развертыванию.

Средство оценки совместимости обновлений и набор средств для обеспечения совместимости приложений

Часто обновления записываются в одни те же файлы, а для запуска приложений требуется настроить параметры реестра. Это приводит к возникновению несовместимостей и увеличивает время, затрачиваемое на развертывание обновлений для системы безопасности. Облегчить тестирование и проверку обновлений Windows для установленных приложений можно с помощью компонентов оценки совместимости обновлений, входящих в состав набора средств для обеспечения совместимости приложений.

Набор средств для обеспечения совместимости приложений содержит необходимые средства и документацию для выявления проблем совместимости приложений и уменьшения степени воздействия этих проблем перед развертыванием системы Microsoft Windows Vista, обновлений из Центра обновления Windows, обновлений с веб-сайта безопасности Майкрософт или новой версии проводника.

Top of section

Развертывание обновления для системы безопасности

Подвержены уязвимости

Чтобы получить сведения о нужной версии обновления для системы безопасности, щелкните соответствующую ссылку.

Windows 2000 (все выпуски)

Справочная таблица

В приведенной ниже таблице приведены сведения об обновлении для системы безопасности данного программного обеспечения. Дополнительные сведения см. в подразделе Сведения о развертывании данного раздела.

Включение в будущие пакеты обновления	Обновление для устранения этой проблемы планируется включить в будущий накопительный пакет обновления.
Развертывание
Установка обновления без участия пользователя	Windows2000-kb956844-x86-enu /quiet
Установка обновления без перезагрузки компьютера	Windows2000-kb956844-x86-enu /norestart
Обновление файла журнала	kb956844.log
Дополнительные сведения	См. подраздел Руководство и средства по диагностике и развертыванию
Необходимость перезагрузки
Требуется перезагрузка?	В некоторых случаях перезагружать компьютер после установки обновления не требуется. Однако если требуемые файлы используются другими приложениями, то после установки обновления компьютер необходимо перезагрузить. В этом случае появляется соответствующее сообщение. Чтобы уменьшить вероятность необходимой перезагрузки, перед установкой обновления безопасности остановите все уязвимые службы и закройте все приложения, которые могут использовать уязвимые файлы. Для получения дополнительной информации о причинах необходимости перезагрузки см. статью 887012 базы знаний Майкрософт.
Функция Hotpatching	Не применимо
Сведения об удалении	Используйте компонент Установка и удаление программ панели управления или утилиту Spuninst.exe, размещенную в папке %Windir%\$NTUninstallKB956844$\Spuninst.
Сведения о файлах	См. статью 956844 базы знаний Майкрософт.
Проверка параметров системного реестра	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB956844\Filelist

Сведения о развертывании

Установка обновления

При установке этого обновления для системы безопасности проверяется, не выполнялось ли обновление этого файла (файлов) ранее с помощью исправления Microsoft.

Если один из файлов был обновлен ранее другим исправлением, установщик копирует на компьютер файлы RTMQFE, SP1QFE и SP2QFE. В противном случае будут скопированы файлы RTMGDR, SP1GDR или SP2GDR. Обновления для системы безопасности могут не содержать всех этих вариантов. Дополнительную информацию о поведении такого рода см. в статье 824994 базы знаний Майкрософт.

Дополнительные сведения об установщике см. на веб-узле Microsoft TechNet.

Для получения подробных сведений о терминологии, встречающейся в этом бюллетене, например, исправление, обратитесь к статье 824684 базы знаний Майкрософт.

Обновление для системы безопасности поддерживает следующие параметры командной строки.

Поддерживаемые параметры установки программы обновления безопасности
Параметр	Описание
/help	Отображает параметры командной строки.
Режимы установки
/passive	Автоматический режим установки. Вмешательства пользователя не требуется, но отображается состояние установки. Если по окончании установки требуется перезагрузка, на экране отобразится диалоговое окно, предупреждающее пользователя о перезагрузке компьютера через 30 секунд.
/quiet	Полностью автоматический (тихий) режим. Режим, аналогичный автоматическому, но без отображения состояния или сообщений об ошибках.
Параметры перезагрузки
/norestart	После установки перезагрузка компьютера не выполняется.
/forcerestart	Перезагружает компьютер после установки и при выключении компьютера принудительно закрывает все приложения без предварительного сохранения открытых файлов.
/warnrestart[:x]	Отображает диалоговое окно, предупреждающее пользователя, что компьютер будет перезагружен через x секунд. (Значение по умолчанию — 30 секунд.) Используется с параметрами /quiet или /passive.
/promptrestart	Выводит диалоговое окно, запрашивающее у локального пользователя разрешение на перезагрузку.
Специальные параметры
/overwriteoem	Заменяет файлы OEM без вывода соответствующего запроса.
/nobackup	Не создает резервных копий файлов на случай удаления.
/forceappsclose	Завершает работу других программ перед выключением компьютера.
/log:путь	Обеспечивает переадресацию файлов журнала установки.
/extract[:путь]	Извлекает файлы без запуска программы установки.
/ER	Создает расширенные отчеты об ошибках.
/verbose	Обеспечивает подробное протоколирование в журнале. Во время установки создает журнал %Windir%\CabBuild.log. В этом журнале приводится информация о копируемых файлах. Использование этого параметра может замедлить процесс установки.

Примечание. В одной командной строке можно использовать сразу несколько параметров. Для обеспечения обратной совместимости обновлениями безопасности поддерживаются параметры, которые использовались в программе установки более ранней версии. Дополнительные сведения о поддерживаемых параметрах установки см. в статье 262841 базы знаний Майкрософт.

Удаление обновления

Обновление для системы безопасности поддерживает следующие параметры командной строки.

Поддерживаемые параметры Spuninst.exe
Параметр	Описание
/help	Отображает параметры командной строки.
Режимы установки
/passive	Автоматический режим установки. Вмешательства пользователя не требуется, но отображается состояние установки. Если по окончании установки требуется перезагрузка, на экране отобразится диалоговое окно, предупреждающее пользователя о перезагрузке компьютера через 30 секунд.
/quiet	Полностью автоматический (тихий) режим. Режим, аналогичный автоматическому, но без отображения состояния или сообщений об ошибках.
Параметры перезагрузки
/norestart	После установки перезагрузка компьютера не выполняется.
/forcerestart	Перезагружает компьютер после установки и при выключении компьютера принудительно закрывает все приложения без предварительного сохранения открытых файлов.
/warnrestart[:x]	Отображает диалоговое окно, предупреждающее пользователя, что компьютер будет перезагружен через x секунд. (Значение по умолчанию — 30 секунд.) Используется с параметрами /quiet или /passive.
/promptrestart	Выводит диалоговое окно, запрашивающее у локального пользователя разрешение на перезагрузку.
Специальные параметры
/forceappsclose	Завершает работу других программ перед выключением компьютера.
/log:путь	Обеспечивает переадресацию файлов журнала установки.

Проверка успешного применения обновления

•

Анализатор безопасности Microsoft Baseline Security Analyzer

Для проверки успешного применения обновления безопасности можно воспользоваться средством Microsoft Baseline Security Analyzer (MBSA). Дополнительные сведения см. выше в разделе "Руководство и средства по диагностике и развертыванию" данного бюллетеня.

•

Проверка версий файлов

Эти действия зависят от установленного выпуска Microsoft Windows. В случае затруднений для выполнения процедуры обратитесь к документации по установленной версии продукта.

1.	Нажмите кнопку Пуск и выберите пункт Найти.
2.	На панели Результаты поиска в области Помощник по поиску выберите пункт Файлы и папки.
3.	В области Часть имени или имя файла целиком введите имя файла из соответствующей справочной таблицы по файлам и нажмите кнопку Найти.
4.	В списке файлов щелкните правой кнопкой мыши имя файла из соответствующей таблицы сведений о файлах и выберите Свойства. Примечание. В зависимости от выпуска операционной системы или имеющихся на компьютере программ некоторые файлы из таблицы сведений о файлах могут быть не установлены.
5.	На вкладке Версия определите версию файла, установленного на компьютере, сравнив ее с версией, приведенной в таблице сведений о файлах. Примечание. Все атрибуты, кроме версии файла, в ходе установки могут изменяться. Проверка того, что обновление было применено, путем сравнения других атрибутов файла с данными из таблицы сведений о файлах не поддерживается. Кроме того, при определенных условиях файлы в ходе установки могут быть переименованы. Если сведения о файле или версии отсутствуют, обратитесь к другим доступным методам проверки установки обновления.

•

Проверка параметров системного реестра

Файлы, установленные этим обновлением для системы безопасности, также можно проверить в разделах реестра, перечисленных в справочной таблице данного раздела.

Эти разделы реестра могут не содержать полного списка установленных файлов. Кроме того, эти разделы реестра могут быть созданы неправильно, если администратор или сборщик систем интегрируют или добавляют данное обновление для системы безопасности в исходные установочные файлы Windows.

Top of section

Windows XP (все выпуски)

Справочная таблица

Включение в будущие пакеты обновления	Обновление для устранения этой уязвимости будет включено в следующий пакет обновления или накопительный пакет обновления
Развертывание
Установка обновления без участия пользователя	Для Windows XP с пакетом обновления 2 (SP2) и 3 (SP3) WindowsXP-kb956844-x86-enu /quiet
	Для Windows XP Professional x64 Edition с пакетом обновления 2 (SP2): WindowsServer2003.WindowsXP-kb956844-x64-enu /quiet
Установка обновления без перезагрузки компьютера	Для Windows XP с пакетом обновления 2 (SP2) и 3 (SP3) WindowsXP-kb956844-x86-enu /norestart
	Для Windows XP Professional x64 Edition с пакетом обновления 2 (SP2): WindowsServer2003.WindowsXP-kb956844-x64-enu /norestart
Обновление файла журнала	KB956844.log
Дополнительные сведения	См. подраздел Руководство и средства по диагностике и развертыванию
Необходимость перезагрузки
Требуется перезагрузка?	В некоторых случаях перезагружать компьютер после установки обновления не требуется. Однако если требуемые файлы используются другими приложениями, то после установки обновления компьютер необходимо перезагрузить. В этом случае появляется соответствующее сообщение. Чтобы уменьшить вероятность необходимой перезагрузки, перед установкой обновления безопасности остановите все уязвимые службы и закройте все приложения, которые могут использовать уязвимые файлы. Для получения дополнительной информации о причинах необходимости перезагрузки см. статью 887012 базы знаний Майкрософт.
Функция Hotpatching	Не применимо
Сведения об удалении	Используйте компонент Установка и удаление программ панели управления или утилиту Spuninst.exe, размещенную в папке %Windir%\$NTUninstallKB956844$\Spuninst.
Сведения о файлах	См. статью 956844 базы знаний Майкрософт.
Проверка параметров системного реестра	Для всех поддерживаемых 32-разрядных версий Windows XP: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP4\KB956844\Filelist
	Для всех поддерживаемых 64-разрядных (x64) версий Windows XP: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB956844\Filelist

Примечание. Для поддерживаемых версий Windows XP Professional x64 Edition используется то же обновление для системы безопасности, что и для поддерживаемых версий Windows Server 2003 x64 Edition.

Сведения о развертывании

Установка обновления

Дополнительные сведения об установщике см. на веб-узле Microsoft TechNet.

Обновление для системы безопасности поддерживает следующие параметры командной строки.

Поддерживаемые параметры установки программы обновления безопасности
Параметр	Описание
/help	Отображает параметры командной строки.
Режимы установки
/passive	Автоматический режим установки. Вмешательства пользователя не требуется, но отображается состояние установки. Если по окончании установки требуется перезагрузка, на экране отобразится диалоговое окно, предупреждающее пользователя о перезагрузке компьютера через 30 секунд.
/quiet	Полностью автоматический (тихий) режим. Режим, аналогичный автоматическому, но без отображения состояния или сообщений об ошибках.
Параметры перезагрузки
/norestart	После установки перезагрузка компьютера не выполняется.
/forcerestart	Перезагружает компьютер после установки и при выключении компьютера принудительно закрывает все приложения без предварительного сохранения открытых файлов.
/warnrestart[:x]	Отображает диалоговое окно, предупреждающее пользователя, что компьютер будет перезагружен через x секунд. (Значение по умолчанию — 30 секунд.) Используется с параметрами /quiet или /passive.
/promptrestart	Выводит диалоговое окно, запрашивающее у локального пользователя разрешение на перезагрузку.
Специальные параметры
/overwriteoem	Заменяет файлы OEM без вывода соответствующего запроса.
/nobackup	Не создает резервных копий файлов на случай удаления.
/forceappsclose	Завершает работу других программ перед выключением компьютера.
/log:путь	Обеспечивает переадресацию файлов журнала установки.
/integrate:путь	Интегрирует обновление в исходные файлы Windows. Путь доступа к этим файлам указан в параметре.
/extract[:путь]	Извлекает файлы без запуска программы установки.
/ER	Создает расширенные отчеты об ошибках.
/verbose	Обеспечивает подробное протоколирование в журнале. Во время установки создает журнал %Windir%\CabBuild.log. В этом журнале приводится информация о копируемых файлах. Использование этого параметра может замедлить процесс установки.

Удаление обновления

Обновление для системы безопасности поддерживает следующие параметры командной строки.

Поддерживаемые параметры Spuninst.exe
Параметр	Описание
/help	Отображает параметры командной строки.
Режимы установки
/passive	Автоматический режим установки. Вмешательства пользователя не требуется, но отображается состояние установки. Если по окончании установки требуется перезагрузка, на экране отобразится диалоговое окно, предупреждающее пользователя о перезагрузке компьютера через 30 секунд.
/quiet	Полностью автоматический (тихий) режим. Режим, аналогичный автоматическому, но без отображения состояния или сообщений об ошибках.
Параметры перезагрузки
/norestart	После окончания установки перезагрузка компьютера не выполняется
/forcerestart	Перезагружает компьютер после установки и при выключении компьютера принудительно закрывает все приложения без предварительного сохранения открытых файлов.
/warnrestart[:x]	Отображает диалоговое окно, предупреждающее пользователя, что компьютер будет перезагружен через x секунд. (Значение по умолчанию — 30 секунд.) Используется с параметрами /quiet или /passive.
/promptrestart	Выводит диалоговое окно, запрашивающее у локального пользователя разрешение на перезагрузку.
Специальные параметры
/forceappsclose	Завершает работу других программ перед выключением компьютера.
/log:путь	Обеспечивает переадресацию файлов журнала установки.

Проверка успешного применения обновления

•

Анализатор безопасности Microsoft Baseline Security Analyzer

•

Проверка версий файлов

1.	Нажмите кнопку Пуск и выберите пункт Найти.
2.	На панели Результаты поиска в области Помощник по поиску выберите пункт Файлы и папки.
3.	В области Часть имени или имя файла целиком введите имя файла из соответствующей справочной таблицы по файлам и нажмите кнопку Найти.
4.	В списке файлов щелкните правой кнопкой мыши имя файла из соответствующей таблицы сведений о файлах и выберите Свойства. Примечание. В зависимости от выпуска операционной системы или имеющихся на компьютере программ некоторые файлы из таблицы сведений о файлах могут быть не установлены.
5.	На вкладке Версия определите версию файла, установленного на компьютере, сравнив ее с версией, приведенной в таблице сведений о файлах. Примечание. Все атрибуты, кроме версии файла, в ходе установки могут изменяться. Проверка того, что обновление было применено, путем сравнения других атрибутов файла с данными из таблицы сведений о файлах не поддерживается. Кроме того, при определенных условиях файлы в ходе установки могут быть переименованы. Если сведения о файле или версии отсутствуют, обратитесь к другим доступным методам проверки установки обновления.

•

Проверка параметров системного реестра

Top of section

Windows Server 2003 (все выпуски)

Справочная таблица

Включение в будущие пакеты обновления	Обновление для устранения этой уязвимости будет включено в следующий пакет обновления или накопительный пакет обновления
Развертывание
Установка обновления без участия пользователя	Для всех поддерживаемых 32-разрядных выпусков Windows Server 2003: WindowsServer2003-kb956844-x86-enu /quiet
	Для всех поддерживаемых 64-разрядных выпусков Windows Server 2003: WindowsServer2003.WindowsXP-kb956844-x64-enu /quiet
	Для всех поддерживаемых выпусков Windows Server 2003 для систем на базе процессоров Itanium: WindowsServer2003-kb956844-ia64-enu /quiet
Установка обновления без перезагрузки компьютера	Для всех поддерживаемых 32-разрядных выпусков Windows Server 2003: WindowsServer2003-kb956844-x86-enu /norestart
	Для всех поддерживаемых 64-разрядных выпусков Windows Server 2003: WindowsServer2003.WindowsXP-kb956844-x64-enu /norestart
	Для всех поддерживаемых выпусков Windows Server 2003 для систем на базе процессоров Itanium: WindowsServer2003-kb956844-ia64-enu /norestart
Обновление файла журнала	KB956844.log
Дополнительные сведения	См. подраздел Руководство и средства по диагностике и развертыванию
Необходимость перезагрузки
Требуется перезагрузка?	В некоторых случаях перезагружать компьютер после установки обновления не требуется. Однако если требуемые файлы используются другими приложениями, то после установки обновления компьютер необходимо перезагрузить. В этом случае появляется соответствующее сообщение. Чтобы уменьшить вероятность необходимой перезагрузки, перед установкой обновления безопасности остановите все уязвимые службы и закройте все приложения, которые могут использовать уязвимые файлы. Для получения дополнительной информации о причинах необходимости перезагрузки см. статью 887012 базы знаний Майкрософт.
Функция Hotpatching	Данное обновление безопасности не поддерживает горячее обновление HotPatching. Дополнительные сведения о функции HotPatching см. в статье 897341 базы знаний Майкрософт.
Сведения об удалении	Используйте компонент Установка и удаление программ панели управления или утилиту Spuninst.exe, размещенную в папке %Windir%\$NTUninstallKB956844$\Spuninst.
Сведения о файлах	См. статью 956844 базы знаний Майкрософт.
Проверка параметров системного реестра	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB956844\Filelist

Сведения о развертывании

Установка обновления

При установке данного обновления для системы безопасности программа-установщик проверяет, не выполнялось ли ранее обновление одного или нескольких обновляемых файлов с помощью исправления Майкрософт.

Дополнительные сведения об установщике см. на веб-узле Microsoft TechNet.

Обновление для системы безопасности поддерживает следующие параметры командной строки.

Поддерживаемые параметры установки программы обновления безопасности
Параметр	Описание
/help	Отображает параметры командной строки.
Режимы установки
/passive	Автоматический режим установки. Вмешательства пользователя не требуется, но отображается состояние установки. Если по окончании установки требуется перезагрузка, на экране отобразится диалоговое окно, предупреждающее пользователя о перезагрузке компьютера через 30 секунд.
/quiet	Полностью автоматический (тихий) режим. Режим, аналогичный автоматическому, но без отображения состояния или сообщений об ошибках.
Параметры перезагрузки
/norestart	После установки перезагрузка компьютера не выполняется.
/forcerestart	Перезагружает компьютер после установки и при выключении компьютера принудительно закрывает все приложения без предварительного сохранения открытых файлов.
/warnrestart[:x]	Отображает диалоговое окно, предупреждающее пользователя, что компьютер будет перезагружен через x секунд. (Значение по умолчанию — 30 секунд.) Используется с параметрами /quiet или /passive.
/promptrestart	Выводит диалоговое окно, запрашивающее у локального пользователя разрешение на перезагрузку.
Специальные параметры
/overwriteoem	Заменяет файлы OEM без вывода соответствующего запроса.
/nobackup	Не создает резервных копий файлов на случай удаления.
/forceappsclose	Завершает работу других программ перед выключением компьютера.
/log:путь	Обеспечивает переадресацию файлов журнала установки.
/integrate:путь	Интегрирует обновление в исходные файлы Windows. Путь доступа к этим файлам указан в параметре.
/extract[:путь]	Извлекает файлы без запуска программы установки.
/ER	Создает расширенные отчеты об ошибках.
/verbose	Обеспечивает подробное протоколирование в журнале. Во время установки создает журнал %Windir%\CabBuild.log. В этом журнале приводится информация о копируемых файлах. Использование этого параметра может замедлить процесс установки.

Удаление обновления

Обновление для системы безопасности поддерживает следующие параметры командной строки.

Поддерживаемые параметры Spuninst.exe
Параметр	Описание
/help	Отображает параметры командной строки.
Режимы установки
/passive	Автоматический режим установки. Вмешательства пользователя не требуется, но отображается состояние установки. Если по окончании установки требуется перезагрузка, на экране отобразится диалоговое окно, предупреждающее пользователя о перезагрузке компьютера через 30 секунд.
/quiet	Полностью автоматический (тихий) режим. Режим, аналогичный автоматическому, но без отображения состояния или сообщений об ошибках.
Параметры перезагрузки
/norestart	После установки перезагрузка компьютера не выполняется.
/forcerestart	Перезагружает компьютер после установки и при выключении компьютера принудительно закрывает все приложения без предварительного сохранения открытых файлов.
/warnrestart[:x]	Отображает диалоговое окно, предупреждающее пользователя, что компьютер будет перезагружен через x секунд. (Значение по умолчанию — 30 секунд.) Используется с параметрами /quiet или /passive.
/promptrestart	Выводит диалоговое окно, запрашивающее у локального пользователя разрешение на перезагрузку.
Специальные параметры
/forceappsclose	Завершает работу других программ перед выключением компьютера.
/log:путь	Обеспечивает переадресацию файлов журнала установки.

Проверка успешного применения обновления

•

Анализатор безопасности Microsoft Baseline Security Analyzer

Для проверки успешного применения обновления безопасности можно воспользоваться средством Microsoft Baseline Security Analyzer (MBSA). Дополнительные сведения см. выше в разделе "Руководство и средства по диагностике и развертыванию" данного бюллетеня.

•

Проверка версий файлов

1.	Нажмите кнопку Пуск и выберите пункт Найти.
2.	На панели Результаты поиска в области Помощник по поиску выберите пункт Файлы и папки.
3.	В области Часть имени или имя файла целиком введите имя файла из соответствующей справочной таблицы по файлам и нажмите кнопку Найти.
4.	В списке файлов щелкните правой кнопкой мыши имя файла из соответствующей таблицы сведений о файлах и выберите Свойства. Примечание. В зависимости от выпуска операционной системы или имеющихся на компьютере программ некоторые файлы из таблицы сведений о файлах могут быть не установлены.
5.	На вкладке Версия определите версию файла, установленного на компьютере, сравнив ее с версией, приведенной в таблице сведений о файлах. Примечание. Все атрибуты, кроме версии файла, в ходе установки могут изменяться. Проверка того, что обновление было применено, путем сравнения других атрибутов файла с данными из таблицы сведений о файлах не поддерживается. Кроме того, при определенных условиях файлы в ходе установки могут быть переименованы. Если сведения о файле или версии отсутствуют, обратитесь к другим доступным методам проверки установки обновления.

•

Проверка параметров системного реестра

Top of section

Прочие сведения

Благодарности

Корпорация Майкрософт благодарит за проведенную совместно работу по защите пользователей:

•	Тэйвиса Орманди (Tavis Ormandy) из Google Inc. за сообщение об уязвимости элемента управления ActiveX компонента редактирования DHTML (CVE-2009-2519)

Top of section

Microsoft Active Protections Program (MAPP)

Чтобы повысить уровень защиты пользователей, корпорация Майкрософт предоставляет сведения об уязвимостях крупным поставщикам программного обеспечения безопасности перед ежемесячным выпуском обновлений. Эта информация необходима им для усовершенствования программного обеспечения и оборудования для защиты пользователей (антивирусных программ, сетевых систем обнаружения вторжений, а также индивидуальных систем предотвращения вторжений). Сведения о новых средствах защиты, предоставляемых поставщиками программного обеспечения безопасности, доступны на соответствующих веб-сайтах партнеров, перечисленных в списке партнеров MAPP.

Top of section

Поддержка

•

Пользователи из США и Канады могут обратиться в службу поддержки по вопросам безопасности или позвонить по телефону 1-866-PCSAFETY. Звонки, связанные с обновлениями безопасности, обслуживаются бесплатно. Дополнительные сведения о вариантах поддержки см. на веб-сайте справки и поддержки корпорации Майкрософт.

•

Пользователям в других странах для получения поддержки следует обращаться в местные представительства корпорации Майкрософт. Звонки, связанные с обновлениями безопасности, обслуживаются бесплатно. Для получения дополнительных сведений о службе поддержки корпорации Майкрософт посетите веб-узел международной поддержки.

Top of section

Заявление об отказе

Сведения в статьях базы знаний Майкрософт предоставляются без каких-либо гарантий. Корпорация Майкрософт не предоставляет каких-либо гарантий, явных или подразумеваемых, включая любые гарантии товарности или пригодности для использования в определенных целях. Корпорация Майкрософт и ее поставщики ни при каких обстоятельствах не несут ответственности за возможный ущерб, включая косвенный, случайный, прямой, опосредованный и специальный ущерб, а также упущенную выгоду, даже если корпорация Майкрософт или ее поставщики заранее были извещены о возможности такого ущерба. Если действующее законодательство не допускает отказа от ответственности за косвенный или случайный ущерб, то описанные выше ограничения не действуют.

Top of section

Редакции

•	Вер. 1.0 (8 сентября 2009 г.) Бюллетень опубликован.
•	Вер. 1.1 (14 октября 2009 г.) В разделе, посвященном временному решению, предотвращающему запуск COM-объекта элемента управления ActiveX компонента DHTML в Internet Explorer, исправлен идентификатор класса.

Top of section

К началу страницы