Microsoft 安全性公告 MS08-050 – 重要

依照預設，這個 ActiveX 控制項 (Messenger.UIAutomation.1) 不包含在 Internet Explorer 7 上 ActiveX 控制項的預設允許清單內。只有透過 ActiveX 加入宣告功能明確允許此控制項的客戶，才可能受到利用此弱點攻擊的威脅。 然而，如果客戶在舊版的 Internet Explorer 中使用了此 ActiveX 控制項，即使客戶未明確核准其使用 ActiveX 加入宣告功能，此 ActiveX 控制項仍會在 Internet Explorer 7 中啟用。

受支援版本的 Microsoft Windows 2000、Windows Server 2003 和適用於 Itanium 系統之 Windows Server 2003，未隨附受影響版本的 Windows Messenger。 因此，只有在這些系統上安裝受影響版本的 Windows Messenger 的客戶，才有可能受到這個弱點的影響。

受支援版本的 Windows Vista 隨附 Windows Live Messenger，但不受此弱點的影響。 因此，升級至受支援版本的 Vista 和 Windows Live Messenger，也是一種緩和因素。

成功利用這項弱點的攻擊者，可以在 Windows Messenger 上取得相同的權限。 攻擊者也可能擷取使用者的登入帳號，然後從遠端登入該使用者的 Messenger 用戶端，假扮為該使用者。 不過，攻擊者無法取得使用者電腦系統上的登入帳號或認證。

在網頁式攻擊的案例中，攻擊者可架設一個網站，並在其中包含利用此弱點的網頁。 此外，受侵害的網站以及接受或存放使用者提供之內容或廣告的網站裡，也可能包含蓄意製作以利用本弱點的內容。 但是，攻擊者無法強迫使用者造訪網站， 而是引誘使用者自行前往。一般的做法是設法讓使用者按一下電子郵件或 Instant Messenger 訊息中通往攻擊者網站的連結。

依照預設，所有 Microsoft Outlook 及 Microsoft Outlook Express 支援版本都會在 [限制的網站] 區域開啟 HTML 電子郵件訊息。 [限制的網站] 區域可阻止讀取 HTML 電子郵件時使用動態指令碼與 ActiveX 控制項，有助於減少企圖利用這個弱點的攻擊。 然而，如果使用者按下電子郵件中的連結，仍有可能因為網頁式攻擊而受到此弱點的影響。

依照預設，Windows Server 2003 的 Internet Explorer 會以稱為「增強式安全性設定」的受限制模式執行。 這個模式會將網際網路區域的安全性層級設為 [高]。 對於您尚未新增至 Internet Explorer [信任的網站] 區域的網站，這是一種緩和因素。 如需更多資訊，請參閱此弱點＜常見問題集＞關於 Internet Explorer 增強式安全性設定的部份。

設定 Internet Explorer，以便在執行動態指令碼之前先行提示或停用網際網路及近端內部網路安全性區域內的動態指令碼。

只要將設定變更為在執行或停用網際網路及近端內部網路安全性區域內的動態指令碼之前先提示，即可防範這個弱點。 請依照下列步驟執行：

注意：在網際網路和近端內部網路安全性區域中停用動態指令碼，可能會導致部分網站無法正確運作。 如果變更這項設定之後，您在使用網站時遇到問題，而又確定該網站安全無虞能放心使用，便可將該網站加入信任的網站清單中。 這樣就能讓網站正確運作。

將信任的網站加入 Internet Explorer [信任的網站] 區域

當您完成設定，使 Internet Explorer 在網際網路區域及近端內部網路區域執行 ActiveX 控制項及動態指令碼處理前會顯示提示之後，即可將信任的網站加入 Internet Explorer [信任的網站] 區域。 之後您就可以依照平時習慣使用信任的網站，同時預防不信任網站的這類攻擊。 我們建議您只將信任的網站加入 [信任的網站] 區域。

請依照下列步驟執行：

注意：您可以加入任何您相信不會對您的系統進行惡意動作的網站。 建議您加入 *.windowsupdate.microsoft.com 與 *.update.microsoft.com 這兩個網站。這些網站提供各項更新，並需要 ActiveX 控制項才能安裝更新。

因應措施的影響： 執行動態指令碼前先提示的設定會產生副作用。 許多網際網路及內部網路的網站使用動態指令碼提供額外的功能。 例如，線上電子商務網站或銀行網站會利用動態指令碼提供功能表、訂單、甚至是帳戶明細。 執行動態指令碼前先提示屬於通用設定，會影響所有網際網路及內部網路網站。 使用這個因應措施的話，您會時常收到提示。 每次出現提示時，如果您覺得可以信任該網站，請按 [是] 執行動態指令碼。 如果您不要收到這些網站的提示，請改用「將信任的網站加入 Internet Explorer [信任的網站] 區域」的步驟。

將網際網路及近端內部網路安全性區域設定為 [高]，系統在這些區域執行 ActiveX 控制項及動態指令碼前，便會先行提示

只要將網際網路安全性區域設定變更為執行 ActiveX 控制項及動態指令碼處理前先提示，即可防範這個弱點。 作法是將瀏覽器的安全性設定為 [高]。

若要在 Internet Explorer 中提高瀏覽器的安全層級，請依照下列步驟執行：

注意：如果沒有顯示滑桿，按一下 [預設層級]，再將滑桿移至 [高安全性]。

注意：設定為 [高安全性] 層級可能會使部分網站無法正確運作。 如果變更這項設定之後，您在使用網站時遇到問題，而又確定該網站安全無虞能放心使用，便可將該網站加入信任的網站清單中。 如此一來，即使採用 [高安全性] 設定，該網站仍可正確運作。

將信任的網站加入 Internet Explorer [信任的網站] 區域

當您完成設定，使 Internet Explorer 在網際網路區域及近端內部網路區域執行 ActiveX 控制項及動態指令碼處理前會顯示提示之後，即可將信任的網站加入 Internet Explorer [信任的網站] 區域。 之後您就可以依照平時習慣使用信任的網站，同時預防不信任網站的這類攻擊。 我們建議您只將信任的網站加入 [信任的網站] 區域。

請依照下列步驟執行：

注意：您可以加入任何您相信不會對您的系統進行惡意動作的網站。 建議您加入 *.windowsupdate.microsoft.com 與 *.update.microsoft.com 這兩個網站。這些網站提供各項更新，並需要 ActiveX 控制項才能安裝更新。

因應措施的影響： 執行 ActiveX 控制項和動態指令碼之前先提示的設定會產生副作用。 許多網際網路及內部網路的網站使用 ActiveX 或動態指令碼提供額外的功能。 例如，線上電子商務網站或銀行網站會利用 ActiveX 控制項提供功能表、訂單、甚至是帳戶明細。 執行 ActiveX 控制項或動態指令碼處理前先提示屬於通用設定，會影響所有網際網路及內部網路網站。 使用這個因應措施的話，您會時常收到提示。 每次出現提示時，如果您覺得可以信任該網站，請按 [是] 執行 ActiveX 控制項或動態指令碼。 如果您不要收到這些網站的提示，請改用「將信任的網站加入 Internet Explorer [信任的網站] 區域」的步驟。

設定 Messenger.UIAutomation.1 控制項的 Kill Bit (刪除位元)

您可以在登錄中設定該控制項的 Kill Bit (刪除位元)，避免弱點受到利用。

警告：如果使用「登錄編輯程式」的方式錯誤，可能造成嚴重問題，以致於您必須重新安裝作業系統。 Microsoft 無法保證您可以解決因為不正確使用 [登錄編輯程式] 所造成的問題。 請自行承擔使用「登錄編輯程式」的風險。 如需有關如何編輯登錄的資訊，請檢視「登錄編輯程式」(Regedit.exe) 中的＜變更機碼及數值＞說明主題，或是 Regedt32.exe 中的＜新增及刪除登錄中的資訊＞與＜編輯登錄資料＞說明主題。

注意：我們建議您在編輯登錄之前先將之備份。

若要設定具有 {B69003B3-C55E-4b48-836C-BC5946FC3B28} 值的 CLSID 的 Kill Bit (刪除位元)，請將下列文字貼到 [記事本] 之類的文字編輯程式中。 然後使用 .reg 副檔名存檔。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{B69003B3-C55E-4b48-836C-BC5946FC3B28}]

"Compatibility Flags"=dword:00000400

您可以按兩下，將此 .reg 檔案套用到個別的系統上。 您也可以使用群組原則，跨網域將之套用到其他系統上。 如需更多關於群組原則的資訊，請造訪下列 Microsoft 網站：

因應措施的影響 此特定 ActiveX 控制項的指令碼處理已停用。 這麼做將停用 Messenger 的遠端存取功能。

如何復原因應措施： 只要執行下列步驟，即可將您的系統回復至原來的狀態：

請將下列文字貼到 [記事本] 之類的文字編輯程式中。 然後使用 .reg 副檔名存檔。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{B69003B3-C55E-4b48-836C-BC5946FC3B28}]

網際網路區域的安全性層級設為 [高]。 此設定會停用指令碼、ActiveX 控制項、Microsoft Java Virtual Machine (MSJVM) 及檔案下載。

停用內部網路網站的自動偵測。 這個設定會將所有未明確列於 [近端內部網路] 區域裡的內部網站及通用命名慣例 (UNC) 路徑指派到 [網際網路] 區域。

停用隨選安裝及非 Microsoft 瀏覽器延伸功能。 這個設定會使網頁無法自動安裝元件，並禁止執行非 Microsoft 的延伸功能。

停用多媒體內容。 這個設定會停止執行音樂、動畫及影片。