computer 版 (精华区)

发信人: oushidaxiong (大雄), 信区: computer       
标  题: CCERT关于微软系列漏洞的安全公告(2004-005)
发信站: BBS 听涛站 (Sat May  1 11:32:01 2004), 转信

微软刚刚发布了2004年4月份的4个安全公告，这些公告描述并修复了大量安全漏洞
，其中
有多个是非常严重的远程安全漏洞。发布的4个公告分别是:

Microsoft 安全公告 MS04-011
Microsoft Windows (835732) 安全性更新

影响系统：
    Microsoft Windows NT Workstation 4.0 Service Pack 6a
    Microsoft Windows NT Server 4.0 Service Pack 6a
    Microsoft Windows NT Server 4.0 Terminal Server Edition Service Pack
 6
    Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 
Service Pack 3
    和Microsoft Windows 2000 Service Pack 4
    Microsoft Windows XP和Microsoft Windows XP Service Pack 1
    Microsoft Windows XP 64-Bit Edition Service Pack 1
    Microsoft Windows XP 64-Bit Edition 2003版
    Microsoft Windows Server 2003
    Microsoft Windows Server 2003 64-Bit Edition
    Microsoft NetMeeting
    Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE)和
Microsoft
    Windows Millennium Edition (ME)

详细描述：
    本公告修复了几个新发现的漏洞。下文中记录了这些漏洞。成功利用其中最严
重漏洞的
攻击者可以完全控制受影响的系统，包括安装程序，浏览，更改或删除数据，或创
建拥有完
全权限的新帐号。

 1、LSASS漏洞
       本地安全性授权服务(LSASS,Local Security Authority Subsystem 
Service)提供
一种
接口，用来管理本地的安全、网络的授权及Active Directory服务。它能用来处理
客户端及
服
务器间的验证，同时包含了用来支持Active Directory服务的公用程序。最近发现
LSASS服
务
中存在未检查的缓冲区，导致存在缓冲溢出漏洞。攻击者成功利用该漏洞可以获得
系统管理
员权限。

       临时解决办法：
       * 使用个人防火墙，例如Windows XP和Windows Server 2003捆绑的
Internet连接防
火墙；
       * 在防火墙阻断以下端口:
         UDP 135, 137, 138和445端口，TCP 135, 139, 445和593端口
         在大于1024的端口阻断所有没有请求的流入通讯
         任何其他特别配置的RPC端口
       * 在支持高级TCP/IP过滤特性的系统上启用这个特性；
       * 在受影响系统上使用IPSec阻断受影响的端口。

    2、LDAP漏洞
       轻量级目录存取服务协议(LDAP,Lightweight Directory Access 
Protocol)是目
前通用的目录服务存取标准协议。最近发现windows系统的LSASS服务在处理特殊构
造的LDA
P协议包
时存在一个缺陷，当攻击者发送可以构造的LDAP数据包给LSASS,会导致LSASS服务
停止响应
并致使
系统重新启动，从而达到拒绝服务攻击。

       临时解决办法：
       * 在防火墙阻断LDAP TCP 389, 636, 3268和3269端口
       注意封锁这些端口会导致Active Directory域验证无法进行

    3、PCT 漏洞
      Private Communications Transport (PCT)通讯协议是属于SSL (Secure 
Sockets La
yer)函数库
的一部，PCT存在一个缓冲溢出漏洞，攻击者成功利用该漏洞可以获得系统管理员
权限。这
个
漏洞只存在于启用了SSL服务的系统中（通常情况下是win2000主域控制器）。另外
所有使用
SSL
协议的程序都可能受此漏洞的影响，他们包括：Microsoft Internet Information
 Service
s 4.0、
Microsoft Internet Information Services 5.0、Microsoft Internet 
Information Serv
ices 5.1、
Microsoft Exchange Server 5.5、Microsoft Exchange Server 2000、
Microsoft Exchange Server 2003、Microsoft Analysis Services 2000 (随
SQL Server 2
000 提供)
以及使用 PCT 的协议的其他商用程序。

      临时解决办法：
      * 通过注册表禁用PCT支持

    4、winlogon漏洞
       winlogon是windows系统的一个底层组件，用来提供交互式的登录支持，
Winlogon.e
xe 是
 Windows 中用来管理与用户登录安全相关的互动操作的程序，它会处理登录、注
销、锁定
或
解除锁定系统、变更密码及其他相关的请求。
      当用户登录域系统的时候winlog服务会从域上读取相关的信息，并用这些信
息来设定
使
用者的环境。最近发现winlogon在这个过程中没有有效的检查获得数据的大小，导
致一个缓
冲
溢出漏洞存在。要想成功利用该漏洞，攻击者必须拥有该域中的一个可以修改域用
户配置权
限
的账号。

       临时解决办法：
     * 减少拥有帐号修改权限用户的数目

    5、Metafile漏洞
       WMF是windows系统中16位的影像图元格式，它可以同时包含向量和点阵格
式的图信
息。
       EMF是windows系统中32位的影像图元格式，它根据WMF改良扩充而来的。
       最近发现window系统在解析这些图元格式的过程中存在一个缓冲溢出漏洞
，恶意的
攻击者
可以发送特殊构造的文件给用户，诱使用户点击从而达到攻击目的，成功利用该漏
洞，攻击
者可以
获得系统权限。

       临时解决办法：
       * 如果使用Outlook 2002或之后版本的话，或Outlook Express 6 SP1或之
后版本的
话，
         以纯文本格式读取邮件消息以防范HTML邮件攻击。

    6、帮助和支持中心漏洞
       帮助和支持中心(HSC)是window中的帮助功能，可提供类似于是否需要下载
安装更新
软件等
各种帮助。HCP协议可以通过URL链接来开启帮助和支持中心功能，与能够通过标有
http协议
的
URL能够开启ie浏览器的功能非常相似。由于帮助和支持中心程序没有有效的检查
通过HCP协
议传
递来的信息，导致一个缓冲溢出漏洞存在。成功利用该漏洞，攻击者可以获得系统
管理权限
。

       临时解决办法：
       * 注销HCP协议
       * 如果在使用Outlook 2000 SP1或更早版本的话，安装Outlook E-mail安
全更新
       * 如果使用Outlook 2002或之后版本的话，或Outlook Express 6 SP1或之
后版本
         的话，以纯文本格式读取邮件消息以防范HTML邮件攻击。

    7、工具管理器漏洞
       工具管理器程序让使用者可以检查辅助程序的状态（如放大镜、屏幕小键
盘、语音
朗
读等），并能启动和停止这些辅助程序。由于该管理器在启动辅助程序时使用了系
统权限，
所
以本地的用户可以利用该程序获得系统管理权限。

       临时解决办法：
       * 在所有受影响系统中使用软件策略在不需要的地方禁用工具管理器

    8、Windows管理漏洞
       windows管理方式是windowxp允许建立的一种工作模式，在某些特殊情况下
，普通的
用
户可以建立这种工作模式并以系统权限来运行，从而达到权限提升的目的。

    临时解决办法：
       * 删除受影响Windows管理接口（WMI）Provider

    9、本地描述符列表漏洞
       用来在本地描述符列表（Local Descriptor Table ，LDT）中建立项目的
程序接口
存
在一个权限提升漏洞，一个本地普通用户可以利用这个漏洞获得系统管理权限

       临时解决办法：
       无

    10、H.323漏洞
       H.323是一个ITU-T协议，它使基于数据包的系统能够进行多媒体通讯。它
能够启动
声
讯和图像会议系统，实现数据传输。windows在处理H.323协议时存在一个远程缓冲
溢出漏洞
，
成功利用该漏洞可以获得系统管理权限。

       临时解决办法：
       * 在防火墙阻断TCP 1720和TCP 1503的流入和流出通讯

    11、虚拟DOS机漏洞
        Windows内核支持的虚拟DOS机存在问题，本地攻击者可以利用这个漏洞提
升权限。
        问题存在于支持16位代码的虚拟DOS机中，通过使处理机在Virtual86模式
没有对进
程进行初始化VDM就执行代码，在WIndows 2000内核中会引起废弃NULL指针，如果
内存分配
在
虚拟地址0实际。通过在VDM数据地址上提供特殊的数据，可能写内核内存中的任意
内容，导
致
权限提升。

       临时解决办法：
       无

    12、协商SSP漏洞
        windows提供多种安全验证方式，因此当一个用户登录服务器时必须与服
务器对使
用的验证的方式进行协商，协商SSP接口就是提供这项功能的windows组件。最近发
现在
ssp接口中存在未检查的缓冲区导致缓冲溢出攻击的可能。成功利用该漏洞可以获
得系统管
理权限，但是大多数情况下，这个漏洞都会导致服务崩溃。

       临时解决办法：
          * 禁用“集成Windows验证”
          * 禁止协商SSP

    13、SSL漏洞  CAN-2004-0120 风险级别 高
        微软安全套接层（Microsoft Secure Sockets Layer）函数库提供对安全
通讯协议
的支持，这些协议包括Transport Layer Security 1.0 (TLS 1.0),
Secure Sockets Layer 3.0 (SSL 3.0),Secure Sockets Layer 2.0 (SSL 2.0), 
和
Private Communication Technology 1.0 (PCT 1.0)协议。windows的SSL函数库没
有
有效检查输入的数据，恶意的攻击者可以构造特殊的SSL请求,这些请求可能导致
win2000和
winxp的SSL函数库停止响应，而在win2003中可能会导致系统重新启动。

    临时解决办法：
    * 在防火墙阻断443和636端口

    14、ASN.1 “Double Free” 漏洞
        微软的ASN.1函数库存在一个远程代码执行漏洞。造成这个漏洞的原因是
ASN.1函
数库存在Double Free(多次释放内存空间）的可能，一个恶意的攻击者可以构造特
殊的代码
利用该漏洞去释放系统内存中本来已经被多次释放的内存空间，从而破坏系统内存
的结构。
攻击者可以放置恶意的执行代码到被破坏的内存空间中，在特定的硬件环境下这些
代码
可能会被以系统权限运行。但是大多数情况下，这样只会导致系统拒绝服务。

    临时解决办法：
    无

补丁下载：
  微软已经针对这些漏洞发布了相关的安全公告和补丁程序，你可以到我们网站上
下载相关
的补
丁程序安装：
winnt workstation 4.0 中文版+sp6补丁程序
winnt server 4.0 中文版+sp6补丁程序
window2000 中文版 +（sp1或sp2或sp3或sp4）补丁程序
winxp 中文版+sp1补丁程序
win2003 中文版补丁程序


微软安全公告MS04-012
Microsoft RPC/DCOM累积更新 (828741)

 影响系统:

    Microsoft Windows NT Workstation 4.0 Service Pack 6a
    Microsoft Windows NT Server 4.0 Service Pack 6a
    Microsoft Windows NT Server 4.0 Terminal Server Edition Service Pack
 6
    Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 
Service
    Pack 3和Microsoft Windows 2000 Service Pack 4
    Microsoft Windows XP和Microsoft Windows XP Service Pack 1
    Microsoft Windows XP 64-Bit Edition Service Pack 1
    Microsoft Windows XP 64-Bit Edition 2003版
    Microsoft Windows Server 2003
    Microsoft Windows Server 2003 64-Bit Edition
    Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE)和
Microsoft
    Windows Millennium Edition (ME)

详细信息：
1、RPC运行时间库漏洞
       默认情况下RPC-RUNTIME函数库安装在所有的windows操作系统中，该函数
库为程序
开发者
提供包括通讯服务、目录服务及安全服务的底层支持。Rpc-Runtime函数库在处理
刻意构造
的数据
包时可能发生条件竞争错误。攻击者利用该漏洞可以获得系统管理权限，但是由于
条件竞争
漏洞
的特殊性，利用该漏洞的攻击通常只能造成系统拒绝服务。

       临时解决办法：
       * 使用个人防火墙，例如Windows XP和Windows Server 2003捆绑的
Internet连接防
火墙
       * 在防火墙阻断以下端口:
         UDP 135, 137, 138和445端口，TCP 135, 139, 445和593端口
         在大于1024的端口阻断所有没有请求的流入通讯
         任何其他特别配置的RPC端口
         如果安装了的话，则阻断COM Internet服务(CIS)或RPC over HTTP端口
（在80和4
43端
         口监听）
       * 在支持高级TCP/IP过滤特性的系统上启用这个特性；
       * 在受影响系统上使用IPSec阻断受影响的端口。

   2、RPCSS服务漏洞 CAN-2004-0120 风险级别高
        RPCSS服务存在一个拒绝服务攻击漏洞，当攻击者构造特殊的数据包到
RPC监听的端
口
（tcp 135、139、445、593,udp 135、138、139、445）会造成系统用来启动DCOM
功能的RPC
SS服
务失效，导致系统重新启动。

      临时解决办法：
      * 在所有受影响系统上禁用DCOM

   3、COM Internet服务(CIS) – RPC over HTTP漏洞
      RPC over HTTP使得程序能够在80和443端口使用RPC进行通讯,使得客户端可
以透过代
理或
者防火墙访问这两个端口的服务。COM Internet服务(CIS)让DCOM组件能够使用RPC
 over HT
TP在
DCOM客户端和服务端进行通讯。CIS服务中存在一个拒绝服务攻击漏洞，恶意的攻
击者可以
发送特
殊构造数据包使得CIS服务失效，管理员只有重新启动IIS服务才能恢复正常。

      临时解决办法：
      * 如果在受影响系统中手动启用了CIS和RPC over HTTP的话，禁止向它们转
发不可信
任的
        资源
    * 如果不需要CIS或RPC over HTTP的话，在受影响系统中禁用这个功能

   4、对象标识漏洞
      window在对象标识建立时存在一个泄漏敏感信息漏洞，这个漏洞可能会导致
攻击者拥
有让
应用程序开放网络通讯端口的功能，虽然攻击者无法利用该漏洞直接控制或破坏系
统，但是
他可
以使用该端口进行通讯，并且你无法确定他会开放哪个端口进行通讯？

      临时解决办法：
       * 使用个人防火墙，例如Windows XP和Windows Server 2003捆绑的
Internet连接防
火墙
       * 在防火墙阻断以下端口:
         UDP 135, 137, 138和445端口，TCP 135, 139, 445和593端口
         在大于1024的端口阻断所有没有请求的流入通讯
         任何其他特别配置的RPC端口
         如果安装了的话，则阻断COM Internet服务(CIS)或RPC over HTTP端口
（在80和4
43端
         口监听）
       * 在支持高级TCP/IP过滤特性的系统上启用这个特性；
       * 在受影响系统上使用IPSec阻断受影响的端口。

补丁下载：
  微软已经针对这些漏洞发布了相关的安全公告和补丁程序，你可以到我们网站上
下载相关
的补
丁程序安装：
winnt workstation 4.0 中文版+sp6补丁程序
winnt server 4.0 中文版+sp6补丁程序
window2000 中文版 +（sp1或sp2或sp3或sp4）补丁程序
winxp 中文版+sp1补丁程序
win2003 中文版补丁程序


微软安全公告MS04-013
Outlook Express累积安全更新 (837009)

影响系统：
    Microsoft Windows NT Workstation 4.0 Service Pack 6a
    Microsoft Windows NT Server 4.0 Service Pack 6a
    Microsoft Windows NT Server 4.0 Terminal Server Edition Service Pack
 6
    Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 
Service
    Pack 3, Microsoft Windows 2000 Service Pack 4
    Microsoft Windows XP and Microsoft Windows XP Service Pack 1
    Microsoft Windows XP 64-Bit Edition Service Pack 1
    Microsoft Windows XP 64-Bit Edition 2003版
    Microsoft Windows Server 2003
    Microsoft Windows Server 2003 64-Bit Edition
    Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE)和
Microsoft
    Windows Millennium Edition (ME)

影响软件：
    Microsoft Outlook Express 5.5 SP2
    Microsoft Outlook Express 6
    Microsoft Outlook Express 6 SP1
    Microsoft Outlook Express 6 SP1 (64 bit Edition)
    Windows Server 2003上的Microsoft Outlook Express 6
    Windows Server 2003上的Microsoft Outlook Express 6 (64 bit Edition)

详细信息：
    这是一个补丁集，它包含了Outlook Express 5.5和 Outlook Express 6之前
发布的所
有补丁
程序。并新修补了一个最新发现的安全漏洞，该漏洞是：

     1、MHTML URL处理漏洞
MHTML是 MIME Encapsulation of Aggregate HTML的缩写，它是一种网络编码格式
，是用来
定义
在电子邮件正文中如何传送html内容的MIME标准。MHTML URL处理功能是Outlook 
Express的
一部
分，该功能提供了一种URL类型（MHTML://）使得程序中能转译MHTML文件。所有的
应用程序
（包
括IE)都会启动Outlook Express程序来处理MHTML编码的文件。
     Outlook Express在处理MHTML是存在一个缺陷，使得HTML中的脚本程序可以
在
Internet Explorer本地安全区域内运行，这可能会导致攻击者获得系统管理权限
。

     临时解决办法：
    * 加强Internet Explorer中“本地机器”区的安全设置
    * 如果在使用Outlook 2000 SP1或更早版本的话，安装Outlook E-mail安全更
新
    * 如果使用Outlook 2002或之后版本的话，或Outlook Express 6 SP1或之后
版本
      的话，以纯文本格式读取邮件消息以防范HTML邮件攻击。

补丁下载：
微软已经针对这些漏洞发布了相关的安全公告和补丁程序，你可以到我们网站上下
载相关的
补
丁程序安装：
Microsoft Outlook Express 5.5+sp2中文补丁
Microsoft Outlook Express 6中文补丁
Microsoft Outlook Express 6+SP1中文补丁
Microsoft Outlook Express 6 on Windows Server 2003中文补丁


微软安全公告MS04-014
Microsoft Jet数据库引擎中的漏洞可能允许代码执行

影响系统:

    Microsoft Windows NT Workstation 4.0 Service Pack 6a
    Microsoft Windows NT Server 4.0 Service Pack 6a
    Microsoft Windows NT Server 4.0 Terminal Server Edition Service Pack
 6
    Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 
Service
    Pack 3和Microsoft Windows 2000 Service Pack 4
    Microsoft Windows XP和Microsoft Windows XP Service Pack 1
    Microsoft Windows XP 64-Bit Edition Service Pack 1
    Microsoft Windows XP 64-Bit Edition 2003版
    Microsoft Windows Server 2003
    Microsoft Windows Server 2003 64-Bit Edition
    Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE)和
Microsoft
    Windows Millennium Edition (ME)

影响程序：
    Microsoft Jet Database Engine 4.0版

详细信息：
    在Microsoft Jet数据库引擎(Jet)中存在缓冲区溢出，可能允许远程执行代码
。
    成功利用这个漏洞的攻击者可以完全控制受影响的系统，包括安装程序，浏览
，
    更改，删除数据，或以创建拥有完全权限的新帐号。

临时解决办法：
     无

补丁下载：
    微软已经针对这些漏洞发布了相关的安全公告和补丁程序，你可以到我们网站
上下载相
关的
补丁程序安装：
winnt workstation 4.0 中文版+sp6补丁程序
winnt server 4.0 中文版+sp6补丁程序
window2000 中文版 +（sp1或sp2或sp3或sp4）补丁程序
winxp 中文版+sp1补丁程序
win2003 中文版补丁程序


参考信息：
微软安全公告 MS04-011 http://www.microsoft.
com/technet/security/bulletin/MS04-01
1.mspx

微软安全公告 MS04-012 http://www.microsoft.
com/technet/security/bulletin/MS04-01
3.mspx

微软安全公告 MS04-013 http://www.microsoft.
com/technet/security/bulletin/MS04-01
3.mspx

微软安全公告 MS04-014 http://www.microsoft.
com/technet/security/bulletin/MS04-01
4.mspx


公告涉及漏洞的CVE编号：

LSASS 漏洞 - CAN-2003-0533
LDAP 漏洞 CAN-2003-0663
PCT 漏洞 - CAN-2003-0719
Winlogon 漏洞 - CAN-2003-0806
图元文件漏洞 - CAN-2003-0906
帮助和支持中心漏洞 - CAN-2003-0907
工具管理器漏洞 - CAN-2003-0908
Windows 管理漏洞 - CAN-2003-0909
本地描述符表漏洞 - CAN-2003-0910
H.323 漏洞 * - CAN-2004-0117
DOS 虚拟机漏洞 - CAN-2004-0118
协商 SSP 漏洞 - CAN-2004-0119
SSL 漏洞 - CAN-2004-0120
ASN.1“双重释放”漏洞 - CAN-2004-0123
RPC 运行时库漏洞 - CAN-2003-0813
RPCSS 服务漏洞 - CAN-2004-0116
COM Internet Services (CIS) – RPC over HTTP 漏洞 - CAN-2003-0807
Object Identity 漏洞 - CAN-2004-0124
MHTML URL 处理漏洞 - CAN-2004-0380
Jet 漏洞 - CAN-2004-0197


中国教育和科研计算机网紧急响应组（CCERT）
2004 年4月15日
以上下载地址：
http://www.ccert.edu.cn/announce/show.php?handle=101
--
    ┏█￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣ヽ￣￣█┓          
    █┛ ゝ     ヴロ    ー  ヽ-よ  ヽ   ┌ー┓丿ー        ┏ ー   ┗█          
    ▏   フ,ロ   の  ロ|丅 ｀ーナ  ー   〡ヱ│ |ろ  こレ  │十      ▕          
    ▏   ㄧノし ノゝ    丨  √/寸 ノゝ  丿ロ亅ー十  ンロ  丿丿ゝ    ▕          
    █┓                                        ┃                ┏█          
    ┗█____bbs.tingtao.net_____________________丨166.111.162.88__█┛            


※ 来源:·BBS 听涛站 tingtao.net·[FROM: 219.224.175.174]