Microsoft Security Bulletin MS07-039 - Kritický

Snížení rizika se týká nastavení, běžné konfigurace nebo obecného osvědčeného postupu existujícího ve výchozím stavu, který by mohl snížit závažnost zneužití chyby zabezpečení. V dané situaci mohou být užitečné následující faktory snížení rizika:

• Pro zákazníky, kteří postiženou součást požadují, mohou zajistit ochranu sítí před útoky pocházejícími z oblasti mimo rozlehlou síť doporučené postupy pro používání brány firewall a standardní konfigurace této brány. Je vhodné, aby systémy připojené k Internetu měly přístupný minimální počet portů.
• Výsledkem pokusů o zneužití této chyby zabezpečení bude s největší pravděpodobností odmítnutí služby. Mohlo by však dojít ke spuštění vzdáleného kódu.
• Aby mohl útočník zneužít tuto chybu zabezpečení v systému Windows Server 2003, musel by znát platné přihlašovací údaje. Tuto chybu zabezpečení nemohou zneužít anonymní uživatelé.

Alternativní řešení se týká nastavení nebo změny konfigurace, která nevyřeší základní problém, ale pomůže před použitím aktualizace zablokovat známé útoky. Společnost Microsoft testovala následující alternativní řešení a v popisu uvádí, zda dané řešení omezuje funkčnost:

• Zablokujte u brány firewall následující položky:

  Port TCP 389

  Tento port slouží k navázání připojení se součástmi obsahujícími tuto chybu. Blokování uvedeného portu bránou firewall rozlehlé sítě, a to v obou směrech, umožní zabezpečení systémů za touto bránou proti zneužití této chyby zabezpečení. Společnost Microsoft doporučuje blokovat veškerou nevyžádanou příchozí komunikaci z Internetu, a zabránit tak útokům využívajícím jiné porty. Další informace o portech najdete v části Přiřazení portů TCP a UDP.

• Pokud chcete zamezit pokusům o zneužití této chyby zabezpečení prostřednictvím sítě, zablokujte v systémech s touto chybou zabezpečení postižené porty pomocí protokolu IPSec.

  Protokol IPSec (Internet Protocol security) umožňuje ochranu komunikace v síti. Podrobné informace o protokolu IPSec a nastavení filtrů jsou k dispozici v článcích 313190 a 813878 znalostní báze Microsoft Knowledge Base.

Jaký je rozsah této chyby zabezpečení?
Jedná se o chybu zabezpečení umožňující vzdálené spuštění kódu. Útočník, který by úspěšně zneužil tuto chybu zabezpečení, by mohl vzdáleně převzít úplnou kontrolu nad postiženým systémem. Útočník by tak mohl instalovat programy, zobrazovat, měnit či odstraňovat data nebo vytvářet nové účty s úplnými uživatelskými právy.

Poznámka: Výsledkem pokusů o zneužití této chyby zabezpečení bude s největší pravděpodobností odmítnutí služby. Mohlo by však dojít ke spuštění vzdáleného kódu. Rozsah této chyby je tak větší než pouhé odmítnutí služby.

Co tuto chybu zabezpečení způsobuje?
Služba protokolu LDAP provádí nedostatečné kontroly počtu převoditelných atributů zahrnutých v požadavku LDAP.

K čemu by mohl útočník tuto chybu zabezpečení zneužít?
Útočník, který by tuto chybu zabezpečení zneužil, může získat úplnou kontrolu nad ohroženým systémem.

Jak by mohl útočník tuto chybu zabezpečení zneužít?
V systému Windows 2000 Server by jakýkoli anonymní uživatel mající přístup k cílové síti mohl zneužít tuto chybu zabezpečení odesláním speciálně vytvořeného síťového paketu do postiženého systému. V systému Windows Server 2003 může tuto chybu zabezpečení zneužít pouze útočník mající platné ověřovací údaje pro přihlášení.

Které systémy jsou touto chybou ohroženy nejvíce?
LDAP je požadavek pro službu Active Directory. Proto je touto chybou zabezpečení ohrožen každý systém Windows 2000 Server a Windows Server 2003, jehož součástí je služba Active Directory.

Bylo by možné tuto chybu zabezpečení zneužít prostřednictvím Internetu?
Ano. Útočník by se mohl pokusit o zneužití této chyby zabezpečení prostřednictvím Internetu. Běžné postupy pro používání brány firewall v rámci podnikové infrastruktury však obsahují požadavky na službu Active Directory Doporučené postupy pro používání brány firewall zajišťují ochranu před útoky pocházejícími z Internetu.

Co je LDAP?
LDAP (Lightweight Directory Access Protocol) je standardní protokol, který ověřeným uživatelům umožňuje vyhledávat nebo měnit data v metaadresáři. V systémech Windows Server 2000 a Windows Server 2003 je protokol LDAP jedním z protokolů umožňujícím získat přístup k datům služby Active Directory.

Co je podstatou této aktualizace?
Tato aktualizace odstraňuje uvedenou chybu zabezpečení tím, že provádí kontroly počtu převoditelných atributů zahrnutých v požadavku LDAP.

Byla v době zveřejnění tohoto bulletinu tato chyba zabezpečení veřejně známá?
Ne. Společnost Microsoft byla o této chybě informována důvěryhodným zdrojem.

Měla v době zveřejnění tohoto bulletinu společnost Microsoft nějaké informace o tom, že tato chyba zabezpečení byla zneužita?
Ne. Společnost Microsoft neměla žádné informace, které by naznačovaly, že daná chyba zabezpečení byla v době původního zveřejnění tohoto bulletinu zneužita k útoku na zákazníky, a nezaznamenala ani žádné důkazy nebo publikované příklady kódu, které by naznačovaly, že tato chyba byla zneužita.

Snížení rizika se týká nastavení, běžné konfigurace nebo obecného osvědčeného postupu existujícího ve výchozím stavu, který by mohl snížit závažnost zneužití chyby zabezpečení. V dané situaci mohou být užitečné následující faktory snížení rizika:

• Pro zákazníky, kteří postiženou součást požadují, mohou zajistit ochranu sítí před útoky pocházejícími z oblasti mimo rozlehlou síť doporučené postupy pro používání brány firewall a standardní konfigurace této brány. Je vhodné, aby systémy připojené k Internetu měly přístupný minimální počet portů.
• Vydání systému Windows Server 2003 nejsou touto chybou zabezpečení ovlivněny.

Alternativní řešení se týká nastavení nebo změny konfigurace, která nevyřeší základní problém, ale pomůže před použitím aktualizace zablokovat známé útoky. Společnost Microsoft testovala následující alternativní řešení a v popisu uvádí, zda dané řešení omezuje funkčnost:

• Zablokujte u brány firewall následující položky:

  Porty TCP 389 a 3268

  Tyto porty slouží k navázání spojení s postiženou součástí. Blokování uvedených portů bránou firewall rozlehlé sítě, a to v obou směrech, umožní zabezpečení systémů za touto bránou proti zneužití této chyby zabezpečení. Společnost Microsoft doporučuje blokovat veškerou nevyžádanou příchozí komunikaci z Internetu, a zabránit tak útokům využívajícím jiné porty. Další informace o portech najdete v části Přiřazení portů TCP a UDP.

• Pokud chcete zamezit pokusům o zneužití této chyby zabezpečení prostřednictvím sítě, zablokujte v systémech s touto chybou zabezpečení postižené porty pomocí protokolu IPSec.

  Protokol IPSec (Internet Protocol security) umožňuje ochranu komunikace v síti. Podrobné informace o protokolu IPSec a nastavení filtrů jsou k dispozici v článcích 313190 a 813878 znalostní báze Microsoft Knowledge Base.

Jaký je rozsah této chyby zabezpečení?
Jedná se o chybu zabezpečení, která způsobuje odmítnutí služby (DoS). Útočník, který zneužije tuto chybu zabezpečení, může způsobit, že postižený systém přestane dočasně reagovat. Během této doby by server nebyl schopen reagovat na požadavky. Je třeba poznamenat, že chyba zabezpečení způsobující odmítnutí služby nepovolí útočníkovi spouštět kód ani zvyšovat svá uživatelská práva. Mohla by však způsobit, že napadený systém přestane přijímat požadavky.

Co tuto chybu zabezpečení způsobuje?
Služba LDAP provádí nesprávné dekódování dat odeslaných v klientském požadavku LDAP.

Jak by mohl útočník tuto chybu zabezpečení zneužít?
Útočník by se mohl pokusit tuto chybu zabezpečení zneužít odesláním speciálně vytvořeného požadavku do postiženého systému. Tato zpráva by pak mohla způsobit, že ohrožený systém přestane reagovat.

Které systémy jsou touto chybou ohroženy nejvíce?
LDAP je požadavek pro službu Active Directory. Proto je touto chybou zabezpečení ohrožen každý systém Windows 2000 Server, jehož součástí je služba Active Directory.

Bylo by možné tuto chybu zabezpečení zneužít prostřednictvím Internetu?
Ano. Útočník by se mohl pokusit o zneužití této chyby zabezpečení prostřednictvím Internetu. Běžné postupy pro používání brány firewall v rámci podnikové infrastruktury však obsahují požadavky na službu Active Directory Doporučené postupy pro používání brány firewall zajišťují ochranu před útoky pocházejícími z Internetu.

Co je LDAP?
LDAP (Lightweight Directory Access Protocol) je standardní protokol, který ověřeným uživatelům umožňuje vyhledávat nebo měnit data v metaadresáři. V systémech Windows Server 2000 a Windows Server 2003 je protokol LDAP jedním z protokolů umožňujícím získat přístup k datům služby Active Directory.

Co je podstatou této aktualizace?
Tato aktualizace odstraňuje uvedenou chybu zabezpečení tím, že ověří logiku klientského požadavku LDAP.

Byla v době zveřejnění tohoto bulletinu tato chyba zabezpečení veřejně známá?
Ne. Společnost Microsoft byla o této chybě informována důvěryhodným zdrojem.

Měla v době zveřejnění tohoto bulletinu společnost Microsoft nějaké informace o tom, že tato chyba zabezpečení byla zneužita?
Ne. Společnost Microsoft neměla žádné informace, které by naznačovaly, že daná chyba zabezpečení byla v době původního zveřejnění tohoto bulletinu zneužita k útoku na zákazníky, a nezaznamenala ani žádné důkazy nebo publikované příklady kódu, které by naznačovaly, že tato chyba byla zneužita.

Referenční tabulka

Následující tabulka obsahuje informace o aktualizaci zabezpečení pro tento software. Další informace můžete nalézt v podčásti Informace o instalaci tohoto oddílu.

Referenční tabulka

Následující tabulka obsahuje informace o aktualizaci zabezpečení pro tento software. Další informace můžete nalézt v podčásti Informace o instalaci tohoto oddílu.