Microsoft 安全性公告 MS04-030
公告標題 WebDAV XML Message Handler 中的弱點可能會導致拒絕服務 (824151)
發佈日期：2004 年 10 月 14 日
更新日期：2004 年 10 月 19 日
版本：1.0
摘要
應該閱讀此文件的對象：使用 Microsoft® Windows® 的客戶
弱點的影響：拒絕服務
最高的嚴重性等級：重要
建議：客戶應該儘快安裝此更新程式。
安全性更新取代資訊：無
警告：此更新程式包含可能會影響部分應用程式的功能變更。 受影響的應用程式會發出含許多 XML 屬性的有效 WebDAV 要求。 如需更多相關資訊，請參閱與本安全性更新相關的＜常見問題集＞(FAQ) 下的＜此更新程式是否包含任何其他功能的變更？＞。
已測試軟體及安全性更新下載位置：
受影響的軟體：
| • | Microsoft Windows 2000 Service Pack 3 和 Microsoft Windows 2000 Service Pack 4 – 英文下載更新程式 │ 中文下載更新程式 |
| • | Microsoft Windows XP 及 Microsoft Windows XP Service Pack 1 – 英文下載更新程式 │ 中文下載更新程式 |
| • | Microsoft Windows XP 64-Bit Edition Service Pack 1 – 英文下載更新程式 |
| • | Microsoft Windows XP 64-Bit Edition Version 2003 – 英文下載更新程式 |
| • | |
| • | Microsoft Windows Server 2003 64-Bit Edition – 英文下載更新程式 |
不受影響的軟體：
| • | Microsoft Windows XP Service Pack 2 |
| • | Microsoft Windows NT Server 4.0 Service Pack 6 |
| • | Microsoft Windows NT Server 4.0 Terminal Server Edition Service Pack 6 |
| • | Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE) 和 Microsoft Windows Millennium Edition (Me) |
受影響的元件：
| • | Internet Information Services 5.0 |
| • | Internet Information Services 5.1 |
| • | Internet Information Services 6.0 |
不受影響的元件：
| • | Internet Information Server 4.0 |
本清單所列出之軟體版本已經過測試以判斷是否受到影響。 其他版本已不再包含安全性更新支援，或是並不會受到影響。 請瀏覽 Microsoft 技術支援週期網站，以瞭解您的產品及版本的支援生命週期。
一般資訊
提要 |
與本安全性更新相關的常見問題集 (FAQ) |
弱點詳細資料 |
WebDAV 弱點 - CAN-2004-0718： |
存在拒絕服務弱點，可能會允許攻擊者向執行 IIS 與 WebDAV 的伺服器傳送蓄意製作的 WebDAV 要求。 攻擊者可以導致 WebDAV 消耗受影響伺服器上的所有可用記憶體和 CPU 時間。 IIS 服務可能需要重新啟動才能還原各項功能。
WebDAV 弱點 - CAN-2004-0718 的緩和因素： |
WebDAV 弱點 - CAN-2004-0718 的因應措施： |
WebDAV 弱點 - CAN-2004-0718 的常見問題集： |
安全性更新資訊 |
感謝：
Microsoft 感謝下列人士協助我們一同保護我們的客戶：
| • | Amit Klein 與 Sanctum, Inc. 回報 WebDAV 弱點 (CAN-2004-0718)。 |
取得其他安全性更新：
其他安全性議題的更新可由下列地點取得：
| • | 安全性更新可從 Microsoft 下載中心取得：您可以輕鬆地透過關鍵字 "security_patch" 搜尋找到安全性更新程式。 |
| • | 使用者平台的更新程式可以從 Windows Update 網站取得。 |
支援：
| • | 美國 及加拿大地區客戶可電洽 1-866-PCSAFETY Microsoft 產品支援服務以取得技術支援。 與安全性更新有關的支援電話不另外收費。 |
| • | 不同國家的客戶，可以從當地的 Microsoft 分公司取得支援。 與安全性更新有關的支援電話不另外收費。 如需如何連絡 Microsoft 技術支援的詳細資訊，可以從世界各地技術支援網站取得。 |
安全性資源：
| • | Microsoft TechNet 資訊安全網站提供了有關 Microsoft 產品安全性的其他資訊。 |
| • | |
| • | |
| • | |
| • | Windows Update 目錄：如需有關 Windows Update 目錄的詳細資訊，請參閱 Microsoft 知識庫文件編號 323166。 |
| • |
軟體更新服務：
Microsoft Software Update Services (SUS) 能讓系統管理員以迅速可靠的方式，針對 Windows 2000 和 Windows Server 2003 伺服器以及執行 Windows 2000 Professional 或 Windows XP Professional 的桌面系統，部署最新的重要更新程式及安全性更新程式。
如需如何透過「軟體更新服務」部署這個安全性更新的詳細資訊，請瀏覽軟體更新服務網站。
Systems Management Server：
Microsoft Systems Management Server (SMS) 提供了深具彈性的設定組態企業級因應措施，能夠對更新程式進行方便的管理。 透過使用 SMS，系統管理員能判斷企業中有哪些 Windows 系統需要安裝安全性更新，並控制更新程式在企業中部署的流程，同時也將對使用者造成的干擾降到最低。 如需系統管理員能如何利用 SMS 2003 部署安全性更新的詳細資訊，請瀏覽 SMS 2003 安全性補充程式管理網站 (英文)。 SMS 2.0 使用者也可以利用 Software Updates Service Feature Pack 來協助部署安全性更新。 如需關於 SMS 的詳細資訊，請瀏覽 SMS 網站。
注意：SMS 使用 Microsoft Baseline Security Analyzer 及 Microsoft Office Detection Tool，為安全性公告的更新偵測及部署作業提供相當廣泛的支援。 不過這些工具可能無法偵測部份的安全性更新。 在這些情況中，系統管理員可以利用 SMS 的編制清查能力，判斷特定系統所需要的更新程式。 如需這個程序的詳細資訊，請瀏覽這個網站。 某些安全性更新程式在電腦重新啟動之後，會需要用到系統管理員的權限。 系統管理員可以用 Elevated Rights Deployment Tool (隨 SMS 2003 Administration Feature Pack 和 SMS 2.0 Administration Feature Pack 提供) 來安裝這些更新。
免責聲明：
Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係按「現狀」提供，並不提供任何保證。 Microsoft 不做任何明示或暗示的責任擔保，包括適售性以及適合特定用途之擔保責任。 無論任何情況下的損害，Microsoft Corporation 及其供應商皆不負任何法律責任，包括直接、間接、偶發意外、推衍引發、業務利潤損失或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。 某些地區並不允許排除及限制推衍後果或意外損害責任，因此前述限制不適用於這些地區。
修訂：
| • | V1.0 (2004 年 10 月 14 日)：公告發行 |