2006 年 7 月份 Microsoft 安全性公告摘要

Published: 2006 年 7 月 11 日 | 更新日期: 2006 年 7 月 17 日

版本： 1.1

請參考此處所提供的使用者版本資訊。

保護您的電腦： Microsoft 在下列網址提供有助於保護電腦的相關資訊：

•	一般使用者可以造訪保護您的電腦網站。
•	IT 專業人員可以造訪資訊安全指導中心網站。

更新程式管理策略：Microsoft 安全性補充程式管理指南網站提供您有關套用安全性更新的 Microsoft 最佳實作建議。

IT 專業人員資訊安全區社群： 在 IT Pro Security Zone 網站上，學習如何提升安全性以及改善您的 IT 基礎結構，與其他的 IT 專業人員共同參與各類安全性議題的討論。

Microsoft 安全性通知服務： 如想在 Microsoft 安全性公告發佈時收到電子郵件通知，請訂閱 Microsoft 安全性通知服務。

摘要

本次摘要報告內含最近發現弱點的更新資訊。依照嚴重性的等級，這些弱點分類如下：

重大 (5)

公告編號	Microsoft 安全性公告 MS06-035
公告標題	Server 服務中的弱點可能會允許遠端執行程式碼 (917159)
提要	此更新可解決 Server 服務中的兩個弱點，最嚴重的情況可能會允許遠端執行程式碼。
最高的嚴重性等級	重大
弱點的影響	遠端執行程式碼
受影響的軟體	Windows 如需更多資訊，請參閱＜受影響的軟體及下載位置＞部分。

公告編號	Microsoft 安全性公告 MS06-036
公告標題	DHCP Client 服務中的弱點可能會允許遠端執行程式碼 (914388)
提要	本更新解決了 DHCP Client 服務一個可能允許遠端執行程式碼的弱點。
最高的嚴重性等級	重大
弱點的影響	遠端執行程式碼
受影響的軟體	Windows 如需更多資訊，請參閱＜受影響的軟體及下載位置＞部分。

公告編號	Microsoft 安全性公告 MS06-037
公告標題	Microsoft Excel 中的弱點可能會允許遠端執行程式碼 (917285)
提要	此更新可解決 Excel 中的幾個弱點，最嚴重的情況可能會允許遠端執行程式碼。
最高的嚴重性等級	重大
弱點的影響	遠端執行程式碼
受影響的軟體	Office、Excel。如需更多資訊，請參閱＜受影響的軟體及下載位置＞部分。

公告編號	Microsoft 安全性公告 MS06-038
公告標題	Microsoft Office 的弱點可能會允許遠端執行程式碼 (917284)
提要	此更新可解決 Office 中的兩個弱點，最嚴重的情況可能會允許遠端執行程式碼。
最高的嚴重性等級	重大
弱點的影響	遠端執行程式碼
受影響的軟體	Office、Project、Visio、Works、Visual Studio。如需更多資訊，請參閱＜受影響的軟體及下載位置＞部分。

公告編號	Microsoft 安全性公告 MS06-039
公告標題	Microsoft Office 篩選器的弱點可能會允許遠端執行程式碼 (915384)
提要	此更新可解決 Office 中的兩個弱點，最嚴重的情況可能會允許遠端執行程式碼。
最高的嚴重性等級	重大
弱點的影響	遠端執行程式碼
受影響的軟體	Office、Project、Works。如需更多資訊，請參閱＜受影響的軟體及下載位置＞部分。

Top of section

重要 (2)

公告編號	Microsoft 安全性公告 MS06-033
公告標題	ASP.NET 中的弱點可能會導致資訊洩漏 (917283)
提要	此弱點可使攻擊者略過 ASP.Net 安全防護功能，並經由明確指出名稱，取得對應用程式資料夾中物件的未經授權存取權限。請注意，這個弱點不會直接允許攻擊者執行程式碼或提升權限，但可能會用來產生可以進一步破壞受影響系統的資訊。
最高的嚴重性等級	重要
弱點的影響	資訊洩漏
受影響的軟體	Windows、.NET Framework。如需更多資訊，請參閱＜受影響的軟體及下載位置＞部分。

公告編號	Microsoft 安全性公告 MS06-034
公告標題	Microsoft Internet Information Services 使用動態伺服器網頁的弱點可能會允許遠端執行程式碼 (917537)
提要	該弱點可讓攻擊者取得受影響系統的完整控制權。請注意，攻擊者必須擁有有效的登入認證，但如伺服器經過特別設定，允許匿名或經驗證之使用者上傳如 .ASP 網頁等網站內容到網站上，該伺服器可能會受到本弱點之利用。
最高的嚴重性等級	重要
弱點的影響	遠端執行程式碼
受影響的軟體	Windows、IIS。如需更多資訊，請參閱＜受影響的軟體及下載位置＞部分。

Top of section

受影響的軟體及下載位置

我該如何使用這個表格？

您可以用這個表格來瞭解可能需要安裝的安全性更新有哪些。您應該查看此處列出的每一種軟體程式或元件，看看是否有需要的安全性更新。在列出的軟體程式或元件旁邊，會附註弱點的影響等級，同時也會列出可用軟體更新的超連結。

在表格中如出現 [x] 標記 (x 為一個數字)，表示會有一段說明狀況的相關說明。說明文字位於表格的下方。

受影響的軟體及下載位置 (MS06-033 至 MS06-036)

	詳細資訊	詳細資訊	詳細資訊	詳細資訊
公告編號	MS06-033	MS06-034	MS06-035	MS06-036
最高的嚴重性等級：	重要	重要	重大	重大
受影響的 Windows 軟體：
Windows Server 2003 Service Pack 1	[1]	中度	重大	重大
Windows Server 2003	[1]	中度	重大	重大
Windows Server 2003 SP1 for Itanium-based Systems	[1]	中度	重大	重大
Windows Server 2003 for Itanium-based Systems	[1]	中度	重大	重大
Windows Server 2003 x64 Edition	[1]	中度	重大	重大
Windows XP Service Pack 2	[1]	重要	重大	重大
Windows XP Service Pack 1	[1]	重要	重大	重大
Windows XP Professional x64 Edition	[1]	重要	重大	重大
Windows XP Service Pack 2	[1]		重大	重大
Windows XP Service Pack 1	[1]		重大	重大
Windows 2000 Service Pack 4	[1]	重要	重大	重大
受影響的 .NET Framework 軟體：
.NET Framework 2.0	重要

Top of section

受影響的軟體及下載位置 (MS06-037 至 MS06-039)

	詳細資訊	詳細資訊	詳細資訊
公告編號	MS06-037	MS06-038	MS06-039
最高的嚴重性等級：	重大	重大	重大
受影響的 Office 軟體：
Office 2003 Service Pack 2		重要	重要
Office 2003 Service Pack 1		重要	重要
Office XP Service Pack 3		重要	重要
Office 2000 Service Pack 3		重大	重大
Office v.X for Mac		重要
Office 2004 for Mac		重要
Excel 2003	重要
Excel Viewer 2003：	重要
Excel 2002	重要
Excel 2000	重大
Excel v. X for Mac	重要
Excel 2004 for Mac	重要
Project 2002		重要	重要
Project 2000：		重大	重大
Visio 2002		重要
受影響的 Works 軟體：
Works Suite 2006		重要	重要
Works Suite 2005		重要	重要
Works Suite 2004		重要	重要

Top of section

注意：

[1] 已經針對此作業系統提供了安全性更新程式。請參閱表格中受影響的元件，以及相關的安全性公告以獲得更多詳細資訊。

Top of section

部署

Software Update Services：

Microsoft Software Update Services (SUS) 能讓系統管理員以迅速可靠的方式，針對 Windows 2000 和 Windows Server 2003 伺服器以及執行 Windows 2000 Professional 或 Windows XP Professional 的桌面系統，部署最新的重要更新程式及安全性更新程式。

如需如何透過 Software Update Services 部署這個安全性更新的詳細資訊，請造訪 Software Update Services 網站。

Windows Server Update Services：

透過 Windows Server Update Services (WSUS)，系統管理員可迅速可靠地將 Windows 2000 作業系統及後續系統、Office XP 及後續版本、Exchange Server 2003 及 SQL Server 2000 等最新的重大更新與安全性更新部署到 Windows 2000 及後續作業系統中。

如需更多關於利用 Windows Server Update Services 部署安全性更新的資訊，請造訪 Windows Server Update Services 網站。

注意： 在 2006 年 7 月 11 日，發生 WSUSscan.cab 可用性問題。若您在太平洋夏令時間 6:30 PM 之前已下載 WSUSscan.cab，請您再重新下載一次。否則，程式可能無法偵測和部署此摘要內公告所述之更新。如需進一步瞭解 WSUS 的問題和資訊，請參閱知識庫文件編號 894199。

Systems Management Server：

Microsoft Systems Management Server (SMS) 提供了深具彈性的企業解決方案，能夠對更新程式進行方便的管理。透過 SMS，系統管理員能判斷有哪些 Windows 系統需要安全性更新，並控制更新程式在企業中的部署，同時將對使用者造成的干擾降到最低。如需更多關於系統管理員如何使用 SMS 2003 部署安全性更新的資訊，請瀏覽 SMS 2003 的安全性補充程式管理網站。 SMS 2.0 使用者也可以利用 SMS 軟體更新服務功能套件來協助部署安全性更新。如需關於 SMS 的詳細資訊，請造訪 SMS 網站。

注意： 在 2006 年 7 月 11 日，發生 WSUSscan.cab 可用性問題。若您在太平洋夏令時間 6:30 PM 之前已下載 WSUSscan.cab，請您再重新下載一次。否則，程式可能無法偵測和部署此摘要內公告所述之更新。

注意：SMS 使用 Microsoft Baseline Security Analyzer 及 Microsoft Office Detection Tool，為安全性公告更新的偵測及部署作業提供相當廣泛的支援。不過這些工具可能無法偵測部分的軟體更新。在這些情況中，系統管理員可以利用 SMS 的清查功能，判斷特定系統所需要的更新程式。如需更多關於這個程序的資訊，請瀏覽這個網站 (英文)。某些安全性更新程式在電腦重新啟動之後，會需要系統管理員的權限。系統管理員可以用 Elevated Rights Deployment Tool (隨 SMS 2003 Administration Feature Pack 和 SMS 2.0 Administration Feature Pack (英文) 提供) 來安裝這些更新。

QChain.exe 和 Update.exe：

Microsoft 已經發行了一個名為 QChain.exe 的命令行工具，能讓系統管理員以安全可靠的方式將安全性更新串連在一起。所謂串連，是指當您安裝數個更新程式時，不需要在每個更新程式安裝之後重新開機。本摘要文件所描述的更新所使用的 Update.exe 工具中，已內建有串連的功能。客戶如果使用的是 Windows 2000 Service Pack 2 或更新版本、Windows XP 或 Windows Server 2003，就不需要利用 Qchain.exe 來串連這些更新程式。Qchain.exe 仍然支援這些 Windows 更新程式，因此系統管理員可以建立一致的部署指令碼，以便跨所有的平台使用。如需有關 Qchain 的進一步資訊，請造訪此網站。

Microsoft Baseline Security Analyzer：

Microsoft Baseline Security Analyzer (MBSA) 能讓系統管理員掃描本地和遠端系統，偵查任何缺少安全性更新以及一般安全性設定錯誤的狀況。如需更多有關 MBSA 的資訊，請造訪 Microsoft Baseline Security Analyzer 網站。

偵測與部署指南：

Microsoft 已提供本月安全性更新之偵測與部署指南。此指南還能幫助 IT 專業人員瞭解如何使用各項工具來協助部署安全性更新，像是 Windows Update、Microsoft Update、Office Update、Microsoft Baseline Security Analyzer (MBSA)、Office Detection Tool、Microsoft Systems Management Server (SMS)、加強版安全性更新盤點工具 (Security Update Inventory Tool) 和企業更新掃描工具 (EST)。如需更多資訊，請參閱 Microsoft 知識庫文件編號 910723。

Top of section

其他資訊：

感謝

Microsoft 感謝下列人士協助我們一同保護我們的客戶：

•	感謝 TippingPoint Security Research Team 的 Pedram Amini 及 H D Moore 回報 MS06-035 中描述的問題。
•	感謝 NGSS Consulting 的 Shaun Colley 回報 MS06-037 中描述的問題。
•	感謝 Cybsec Security Systems 的 Nuñez Di Croce 回報 MS06-036 中描述的問題。
•	感謝 Arnaud Dovi 回報 MS06-037 中描述的問題。
•	感謝與 Zero Day Initiative (ZDI) 及 TippingPoint 合作的 Arnaud Dovi 回報 MS06-037 中描述的問題。
•	感謝 PRISMA Informatik 的 Urs Eichmann 回報 MS06-033 中描述的問題。
•	感謝賽門鐵克的 Elia Florio 回報 MS06-038 中描述的問題。
•	感謝 Fortinet 回報 MS06-039 中描述的問題。
•	感謝賽門鐵克的 Costin Ionescu 回報 MS06-037 中描述的問題。
•	感謝 Security-Assessment.com 的 Brett Moore 回報 MS06-034 中描述的問題。
•	感謝 NSFocus Security Team 回報 MS06-037 和 MS06-039 中描述的問題。
•	感謝 Nevis Networks 的 Xin Ouyang 回報 MS06-037 中描述的問題。
•	感謝 Posidron 回報 MS06-037 中描述的問題。
•	感謝 Tenable Network Security 的 Nicolas Pouvesle 回報 MS06-035 中描述的問題。
•	感謝 McAfee Avert Labs 的 Mike Price 和 Rafal Wojtczuk 回報 MS06-035 中描述的問題。
•	感謝 Nevis Labs 的 Sowhat 回報 MS06-037 中描述的問題。

取得其他安全性更新：

其他安全性問題的更新可由下列位置取得：

•	安裝性更新可以從 Microsoft 下載中心取得，您也可以利用 "security_patch" 關鍵字搜尋輕易地找到安全性更新。
•	客戶平台的更新程式可以從 Microsoft Update 網站取得。
•	您可於本月份安全性和重大更新 ISO 影像中找到 Windows Update 所提供的本月份安全性更新。如需更多資訊，請參閱 Microsoft 知識庫文件編號 913086。

支援：

•	美國及加拿大地區客戶可電洽 1-866-PCSAFETY Microsoft 產品支援服務以取得技術支援。與安全性更新有關的支援電話不另外收費。
•	不同國家的客戶，可以從當地的 Microsoft 分公司取得支援。與安全性更新有關的支援電話不另外收費。如需更多關於連絡 Microsoft 技術支援的資訊，請造訪世界各地技術支援網站。

安全性資源：

•	Microsoft TechNet 資訊安全網站提供了有關 Microsoft 產品安全性的其他資訊。
•	Microsoft Software Update Services
•	Microsoft Windows Server Update Services
•	Microsoft Baseline Security Analyzer (MBSA)
•	Windows Update
•	Microsoft Update
•	Windows Update 目錄：如需有關 Windows Update 目錄的詳細資訊，請參閱 Microsoft 知識庫文件編號 323166。
•	Office Update

免責聲明：

Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係以其「現狀」提供，並不提供任何形式之擔保。 Microsoft 不做任何明示或默示的責任擔保，包括適售性以及適合某特定用途之擔保責任。無論任何情況下的損害，Microsoft Corporation 及其供應商皆不負任何法律責任，包括直接、間接、偶發、衍生性、所失業務利益或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區不允許排除及限制衍生性或附隨損害賠償責任，因此前述限制不適用於這些地區。

修訂：

•	V1.0 (2006 年 7 月 11 日)：公告發行。
•	V1.1 (2006 年 7 月 11 日)：更新＜部署＞部分，以反映 WSUSscan.cab 的可用性。

Top of section

回到頁首