Microsoft 安全性公告 MS04-029

RPC Runtime 程式庫中的弱點可能會導致資訊洩露與拒絕服務 (873350)

發佈日期：2004 年 10 月 14 日
更新日期：2004 年 10 月 19 日
版本：1.0

摘要

應該閱讀此文件的對象：使用 Microsoft Windows 的客戶

此弱點的影響：重要

最高的嚴重性等級：資訊洩露與拒絕服務

建議：客戶應該儘快安裝此更新程式。

安全性更新取代資訊：本公告取代了數個先前發行的安全性更新程式。請參閱本公告的＜常見問題集＞(FAQ) 以取得完整清單。

警告：無

已測試軟體及安全性更新下載位置：

受影響的軟體：

•	Microsoft Windows NT Server 4.0 Service Pack 6a – 英文下載更新程式 │ 中文下載更新程式
•	Microsoft Windows NT Server 4.0 Terminal Server Edition Service Pack 6 – 英文下載更新程式

不受影響的軟體：

•	Microsoft Windows 2000 Service Pack 3 和 Microsoft Windows 2000 Service Pack 4
•	Microsoft Windows XP 和 Microsoft Windows XP Service Pack 1
•	Microsoft Windows XP Service Pack 2
•	Microsoft Windows XP 64-Bit Edition Service Pack 1
•	Microsoft Windows XP 64-Bit Edition Version 2003
•	Microsoft Windows Server 2003
•	Microsoft Windows Server 2003 64-Bit Edition
•	Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE) 和 Microsoft Windows Millennium Edition (ME)

本清單所列出之軟體版本已經過測試以判斷是否受到影響。其他版本已不再包含安全性更新支援，或是並不會受到影響。請瀏覽 Microsoft 技術支援週期網站，以瞭解您的產品及版本的支援生命週期。

Top of section

一般資訊

提要

提要：

這個更新程式能解決一項新發現且未公開報告的弱點。本公告的＜弱點詳細資訊＞部份會提供這項弱點的相關資訊。

一旦攻擊者成功地利用了這項弱點，就可能會導致受影響的系統停止回應，或能夠讀取部分使用中記憶體內容。

我們建議客戶應該儘快安裝此安全性更新程式。

嚴重性等級和弱點識別碼：

弱點識別碼	弱點的影響	Windows NT 4.0
RPC Runtime 程式庫弱點 - CAN-2004-0569	資訊洩露拒絕服務	重要

此項評估的根據包括：受弱點影響的系統類型、系統的一般部署模式，以及利用弱點對系統所造成的影響後果。

Top of section

與本安全性更新相關的常見問題集 (FAQ)

這次發行的更新程式取代了哪些更新？
本安全性更新取代數項先前發行的安全性公告。下表列出受影響的安全性公告編號及相關的作業系統。

公告編號	Windows NT 4.0	Windows 2000	Windows XP	Windows Server 2003
MS98-014	取代	不適用	不適用	不適用
MS01-048	取代	不適用	不適用	不適用
MS03-026	取代	不適用	不適用	不適用
MS03-039	取代	不適用	不適用	不適用
MS04-012	未取代	不適用	不適用	不適用

注意：此安全性更新並無法取代任何 MS04-012 中提供的安全性更新。上表中列出 MS04-012 僅供參考。

我仍在使用 Windows NT 4.0 Workstation，但延伸安全性更新支援服務已在 2004 年 6 月 30 日到期，該怎麼辦？

前文中已經提到 Windows NT 4.0 Workstation 產品延伸支援週期已結束。使用這個作業系統版本的客戶應優先考慮移轉至支援的作業系統版本，以避免因潛在的弱點而遭受攻擊。如需瞭解 Windows 產品生命週期的相關資訊，請瀏覽下列 Microsoft 產品技術支援週期網站。如需瞭解此作業系統版本延伸安全性更新支援服務週期的相關資訊，請瀏覽下列 Microsoft 產品支援服務網站。

需要 Windows NT Workstation 4.0 SP6a 額外支援服務的客戶，請聯絡 Microsoft 帳戶小組人員、技術支援專案經理或適當的 Microsoft 協力廠商，以取得所需的額外支援。尚未簽訂聯盟、優先或授權合約的客戶，可以連絡當地的 Microsoft 銷售辦公室。如需聯絡資訊，請前往 Microsoft 全球網站，選擇國家，然後按一下 [Go] 查看各地的聯絡電話號碼。聯絡時，請指明要聯絡當地優先支援服務行銷經理。

如需詳細資訊，請參閱 Windows 作業系統常見問題集。

是否能使用 Microsoft Baseline Security Analyzer (MBSA) 來判斷是否需要此更新？
是的。 MBSA 能判斷是否需要此更新程式。如需有關 MBSA 的詳細資訊，請參閱 MBSA 網站。

注意：2004 年 4 月 20 日之後，MBSA 1.1.1 及更早版本所使用的 Mssecure.xml 檔將不再以新加入的安全性公告資料來更新。因此，於該日期之後運用 MBSA 1.1.1 或更早版本進行的任何掃描，都不會具有完整效果。所有的使用者都應該升級至 MBSA 1.2，因為此版本能提供較為精確的安全性更新偵測，並且能支援其他的產品。使用者可以由 MBSA 網站下載 MBSA 1.2。如需更多有關 MBSA 支援的資訊，請瀏覽 Microsoft Baseline Security Analyzer 1.2 Q&A 網站。

是否能使用 Systems Management Server (SMS) 來判斷是否需要此更新？
是的。 SMS 能協助偵測及部署本安全性更新。如需關於 SMS 的詳細資訊，請瀏覽 SMS 網站。

Top of section

弱點詳細資料

RPC Runtime 程式庫弱點 - CAN-2004-0569：

RPC Runtime 程式庫處理蓄意製作的訊息時，出現資訊洩露與拒絕服務弱點。一旦攻擊得逞，攻擊者可能可以讀取使用中記憶體的部份內容，或使受影響的系統停止回應。

RPC Runtime 程式庫弱點 - CAN-2004-0569 的緩和因素：

•	最佳實作的防火牆和標準預設防火牆設定有助於防止網路受到來自企業外的攻擊。最佳方式建議連線至網際網路的系統盡可能曝露最少數量的連接埠。
•	Windows 2000、Windows XP 及 Windows Server 2003 並不受此弱點影響。

Top of section

RPC Runtime 程式庫弱點 - CAN-2004-0569 的因應措施：

Microsoft 已經測試過以下的因應措施。這些因應措施並不能徹底解決弱點，但是有助於封鎖已知的攻擊行為。如果因應措施會降低功能，以下將會描述功能降低的情況。

•

在防火牆封鎖下列項目：

•	UDP 連接埠 135、137、138 和 445，以及 TCP 連接埠 135、139、445 和 593。
•	大於 1024 的連接埠上所有來路不明的輸入流量。
•	任何其他特殊設定的 RPC 連接埠。
•	聆聽連接埠 80 和 443 的 COM Internet Service (CIS) 或 RPC over HTTP (如果有安裝的話)。

上述連接埠用於起始與 RPC 的連線。在防火牆封鎖上述連接埠有助於保護防火牆後的系統免遭此弱點的攻擊。您也必須確定封鎖遠端系統上任何其他特殊設定的 RPC 連接埠。建議您封鎖所有網際網路中來路不明的輸入通訊，以防他人利用其他連接埠攻擊系統。如需更多關於 RPC 所用連接埠的資訊，請瀏覽這個網站。如需更多關於如何停用 CIS 的詳細資訊，請參閱 Microsoft 知識庫文件編號 825819。

•

請在支援此功能的系統中啟用進階 TCP/IP 篩選功能。

您可以啟用進階的 TCP/IP 篩選功能，封鎖所有來路不明的輸入網路流量。如需更多關於如何設定 TCP/IP 篩選功能的資訊，請參閱 Microsoft 知識庫文件編號 309798。

•

在受影響的系統中使用 IPSec 封鎖受影響的連接埠。

使用網際網路通訊協定安全性 (IPSec) 協助保護網路通訊。如需更多關於 IPSec 及如何套用篩選的資訊，請參閱 Microsoft 知識庫文件編號 313190 與 813878。

Top of section

RPC Runtime 程式庫弱點 - CAN-2004-0569 的常見問題集：

這個弱點的範圍為何？
這是資訊洩露與拒絕服務弱點。一旦攻擊得逞，攻擊者可能可以讀取使用中記憶體的部份內容，或使受影響的系統停止回應。

造成這個弱點的原因為何？
RPC Runtime 程式庫中存在未檢查的緩衝區。

什麼是遠端程序呼叫 (RPC)？
遠端程序呼叫 (RPC) 是 Windows 作業系統使用的一種通訊協定。 RPC 提供了程序間的通訊機制，可讓某個系統上執行的程式順暢地存取另一個系統上的服務。此通訊協定是從開放軟體基金會 (OSF) RPC 通訊協定衍生而來的，另外加入了部分 Microsoft 擴充功能。

什麼是 RPC Runtime 程式庫？
依照預設，所有受影響的系統上均安裝了 RPC Runtime 程式庫。 RPC Runtime 程式庫為應用程式開發者提供通訊服務、目錄服務及安全性服務等服務。如需更多關於 RPC Runtime 程式庫的資訊，請瀏覽下列 MSDN Library 網站。

攻擊者可能會利用這項弱點採取什麼動作？
一旦攻擊者成功地利用了這項弱點，就可能會導致受影響的系統停止回應，或能夠讀取部分使用中記憶體內容。

什麼人可以利用此弱點？
可以將一系列蓄意製作的訊息傳遞給受影響系統的任何匿名使用者都可以利用此弱點。這項功能在受影響的系統上是預設啟用的。因此，可以和受影響系統建立連線的任何使用者，都可以嘗試利用這項弱點。

攻擊者如何利用這項弱點？
攻擊者可以建立一系列蓄意製作的網路訊息，並將訊息傳送給受影響的系統，以利用這項弱點。

攻擊者可以透過其他方式存取受到影響的元件，像是以互動方式登入系統，或是使用另一個應用程式以本機或遠端方式將參數傳送至防備不周延的元件中。

是否能透過網際網路利用這個弱點？
是的。攻擊者可以在網際網路上利用這項弱點。最佳實作的防火牆和標準預設防火牆設定有助於防止來自網際網路外界的攻擊。 Microsoft 已經針對這個問題提出如何保護電腦的因應措施。 IT 專業人員可以瀏覽資訊安全指導中心網站。

更新的作用何在？
更新程式會修改在將訊息傳遞至分配的緩衝區之前，RPC Runtime 程式庫驗證訊息長度的方式，因此消除此項弱點。

當安全性公告發行時，這項弱點是否已被揭發出來？
並沒有。 Microsoft 是經由可靠的來源接獲有關這項弱點的訊息。當本安全性公告初次發行時，Microsoft 尚未接獲任何有關此弱點已被發佈出來的消息。

當本安全性公告發行時，Microsoft 是否已接獲任何消息，指出這項弱點已遭有心人士惡用？
並沒有。當本安全性公告初次發行時，Microsoft 並未接到任何有關本弱點已成為公開攻擊媒介的消息，也沒有發現任何已發行的概念驗證程式碼範例。

此弱點與 MS04-012 中所解決的 RPC 弱點有何關係？
這兩個安全性公告都與 RPC 元件相關。但是，此更新程式解決了 MS04-012 中未述及的新弱點。 MS04-012 有助於防止該公告中討論的弱點之侵害，但不能解決這個新發現的弱點。本更新程式並不取代 MS04-012。您必須安裝本更新程式，以及 MS04-012 安全性公告中提供的更新程式，讓系統不受這兩個安全性公告中的弱點影響。

Top of section

安全性更新資訊

安裝平台及必要條件：

如需有關您使用平台的特定安全性更新的資訊，請按下適當的連結：

Windows NT 4.0 (所有版本)

必要條件
這個安全性更新程式需要 Windows NT Server 4.0 Service Pack 6a (SP6a) 或 Windows NT Server 4.0 Terminal Server Edition Service Pack 6 (SP6)。

以上所列的軟體版本已經過測試判斷其是否會受到影響。其他版本已不再包含安全性更新支援，或是並不會受到影響。請瀏覽 Microsoft 技術支援週期網站，以瞭解您的產品及版本的支援生命週期。

如需有關取得最新 Service Pack 的詳細資訊，請參閱 Microsoft 知識庫文件編號 152734。

安裝資訊

這個安全性更新支援以下的安裝參數：

/y：執行移除 (只使用 /m 或 /q)

/f：在關機程序中強制程式結束

/n：不建立 Uninstall 資料夾

/z：更新完成後不重新開機

/q：使用無訊息或自動安裝模式，無使用者介面 (這個參數是 /m 的超集合)

/m：使用有使用者介面的「自動安裝」模式

/l：列出已安裝的 Hotfix

/x：在不執行安裝程式的情況下解壓縮檔案

注意：您可以在同一個指令中合併使用這些參數。有關支援的安裝參數的其他資訊，請參閱 Microsoft 知識庫文件編號 262841。

部署資訊

在 Windows NT Server 4.0 上，如想在不需要使用者介入的狀況下安裝安全性更新，請使用以下的指令行命令：

Windowsnt4server-kb873350-x86-enu /q

Windows NT Server 4.0 Terminal Server Edition：

Windowsnt4terminalserver-kb873350-x86-enu /q

在 Windows NT Server 4.0 上，如想在不強制系統重新開機的狀況下安裝安全性更新，請在命令提示字元下輸入下列命令：

Windowsnt4server-kb873350-x86-enu /z

Windows NT Server 4.0 Terminal Server Edition：

Windowsnt4terminalserver-kb873350-x86-enu /z

重新開機需求

套用此安全性更新之後，您必須重新啟動系統。

移除資訊

若要移除此安全性更新，請使用 [控制台] 中的 [新增/移除程式]。

系統管理員也可以使用 Hotfix.exe 公用程式來移除此安全性更新。 Hotfix.exe 公用程式位於 %Windir%\$NTUninstallKB873350$ 資料夾中。 Hotfix.exe 公用程式支援以下的安裝參數：

/y：執行移除 (只使用 /m 或 /q 參數)

/f：在關機程序中強制程式結束

/n：不建立 Uninstall 資料夾

/z：安裝完成時，不重新啟動

/q：使用無訊息或自動安裝模式，無使用者介面 (這個參數是 /m 的超集合)

/m：使用有使用者介面的「自動安裝」模式

/l：列出已安裝的 Hotfix

檔案資訊

本更新程式的英文版本具有下表列出的檔案屬性 (或以後版本)。這些檔案的日期及時間均使用 Coordinated Universal Time (UTC)。當您檢視檔案資訊時，它會轉換為當地時間。如想知道 UTC 及當地時間的時差，請使用 [控制台] 內的 [日期和時間] 工具的 [時區] 索引標籤。

注意日期和時間資訊可能會在安裝時有所變更。請參閱＜確認更新的安裝＞部份以瞭解確認安裝項目的詳細資訊。

Windows NT Server 4.0：

日期         時間   版本        大小     檔案名稱 
------------------------------------------------------ 
25-Feb-2004  15:53  4.0.1381.7263  701,200  Ole32.dll         
17-Aug-2004  10:38  4.0.1381.7299  345,872  Rpcrt4.dll        
25-Feb-2004  15:53  4.0.1381.7263  122,128  Rpcss.exe

Windows NT Server 4.0 Terminal Server Edition：

日期         時間   版本         大小     檔案名稱 
------------------------------------------------------- 
25-Feb-2004  15:52  4.0.1381.33562  701,200  Ole32.dll         
21-Jul-2004  12:33  4.0.1381.33578  345,360  Rpcrt4.dll        
25-Feb-2004  15:52  4.0.1381.33562  124,176  Rpcss.exe

確認更新的安裝

•

Microsoft Baseline Security Analyzer

如果要確認安全性更新已經安裝到受影響的系統，您可以使用 Microsoft Baseline Security Analyzer (MBSA) 工具。這項工具讓系統管理員能夠掃描本機和遠端系統，找出遺漏的安全性更新，以及常見的錯誤安全性設定。如需有關 MBSA 的詳細資訊，請瀏覽 Microsoft Baseline Security Analyzer 網站。

•

檔案版本驗證

注意：由於 Microsoft Windows 的版本眾多，您電腦上實際執行的步驟可能會與此處描述的不同。如遇到不同的狀況，請參閱產品的說明文件以完成這些步驟。

1.	按一下 [開始]，然後按一下 [搜尋]。
2.	在 [搜尋結果] 窗格中，在 [您想要搜尋什麼?] 中按一下 [所有檔案和資料夾]。
3.	在 [部份或完整的檔案名稱] 方塊中，輸入適當檔案資訊表中的一個檔案名稱，再按一下 [搜尋]。
4.	在檔案清單中，用滑鼠右鍵按一下適當檔案資訊表中的某個檔案名稱，再按 [內容]。注意：視所安裝的作業系統或程式的版本而定，檔案資訊表中列出的檔案未必會全部安裝。
5.	在 [版本]索引標籤上，找出您電腦上安裝的檔案版本，同時與適當檔案資訊表中記錄的版本做一比較。注意：在安裝時，檔案版本以外的屬性可能會變更。在驗證更新程式安裝是否成功時，比對檔案資訊表中列出的其他檔案屬性，並不是妥當的做法。此外在某些情況下，檔案的名稱在安裝時可能會有所變更。如果缺少檔案或版本資訊，請採用其他可用的方法來驗證更新程式的安裝情形。

•

登錄機碼驗證

您也可以查看下列的登錄機碼，來確認安全性更新安裝的檔案：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB873350\File 1

注意機碼可能未包含完整的安裝檔案清單。而且，當管理員或 OEM 將 873350 安全性更新整合 (或 slipstream) 到 Windows 安裝來源檔時，可能無法正確建立這個登錄機碼。

Top of section

感謝：

Microsoft 感謝下列人士協助我們一同保護我們的客戶：

•	BindView，報告 RPC Runtime 程式庫弱點 (CAN-2004-0569)。

取得其他安全性更新：

其他安全性議題的更新可由下列地點取得：

•	安裝性更新可以從 Microsoft 下載中心取得，您也可以利用 "security_patch" 關鍵字搜尋輕易地找到安全性更新。
•	使用者平台的更新程式可以從 Windows Update 網站取得。

支援：

•	美國及加拿大地區客戶可電洽 1-866-PCSAFETY Microsoft 產品支援服務以取得技術支援。與安全性更新有關的支援電話不另外收費。
•	不同國家的客戶，可以從當地的 Microsoft 分公司取得支援。與安全性更新有關的支援電話不另外收費。如需如何連絡 Microsoft 技術支援的詳細資訊，可以從世界各地技術支援網站取得。

安全性資源：

•	Microsoft TechNet 資訊安全網站提供了有關 Microsoft 產品安全性的其他資訊。
•	Microsoft 軟體更新服務
•	Microsoft Baseline Security Analyzer (MBSA)
•	Windows Update
•	Windows Update 目錄：如需有關 Windows Update 目錄的詳細資訊，請參閱 Microsoft 知識庫文件編號 323166。
•	Office Update

Systems Management Server：

Microsoft Systems Management Server (SMS) 提供了深具彈性的設定組態企業級因應措施，能夠對更新程式進行方便的管理。透過使用 SMS，系統管理員能判斷企業中有哪些 Windows 系統需要安裝安全性更新，並控制更新程式在企業中部署的流程，同時也將對使用者造成的干擾降到最低。如需系統管理員能如何利用 SMS 2003 部署安全性更新的詳細資訊，請瀏覽 SMS 2003 安全性補充程式管理網站 (英文)。 SMS 2.0 使用者也可以利用 Software Updates Service Feature Pack 來協助部署安全性更新。如需關於 SMS 的詳細資訊，請瀏覽 SMS 網站。

注意：SMS 使用 Microsoft Baseline Security Analyzer 及 Microsoft Office Detection Tool，為安全性公告的更新偵測及部署作業提供相當廣泛的支援。不過這些工具可能無法偵測部份的安全性更新。在這些情況中，系統管理員可以利用 SMS 的編制清查能力，判斷特定系統所需要的更新程式。如需這個程序的詳細資訊，請瀏覽這個網站。某些安全性更新程式在電腦重新啟動之後，會需要用到系統管理員的權限。系統管理員可以用 Elevated Rights Deployment Tool (隨 SMS 2003 Administration Feature Pack 和 SMS 2.0 Administration Feature Pack 提供) 來安裝這些更新。

免責聲明：

Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係按「現狀」提供，並不提供任何保證。 Microsoft 不做任何明示或暗示的責任擔保，包括適售性以及適合特定用途之擔保責任。無論任何情況下的損害，Microsoft Corporation 及其供應商皆不負任何法律責任，包括直接、間接、偶發意外、推衍引發、業務利潤損失或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區並不允許排除及限制推衍後果或意外損害責任，因此前述限制不適用於這些地區。

修訂：

•	V1.0 (2004 年 10 月 14 日)：公告發行

回到頁首