Biztonsági közlemény

Microsoft MS11-009 biztonsági közlemény – Fontos

A JScript- és VBScript-szkriptmotorok biztonsági rése lehetővé teheti az információk közzétételét (2475792)

Közzétéve: 2011. február 08. | Frissítve: 2012. augusztus 14.

Verzió: 2.1

Általános információk

Vezetői összefoglaló

Ez a biztonsági frissítés feloldja a JScript- és VBScript-szkriptmotorok privátan jelentett biztonsági rését. A biztonsági rés lehetővé teheti az információk közzétételét, ha egy felhasználó egy speciálisan létrehozott webhelyet látogat meg. A támadónak nincs módja arra, hogy kényszerítse a felhasználókat ezen webhelyek felkeresésére. Ehelyett a támadónak meg kell győznie a felhasználókat, hogy látogassák meg a webhelyet, általában azáltal, hogy ráveszik őket, hogy egy e-mail vagy csevegőüzenet hivatkozására kattintanak, amely a felhasználókat a támadó webhelyére viszi.

Ez a biztonsági frissítés fontos a Windows 7 és a Moderate összes támogatott kiadásához a Windows Server 2008 R2 összes támogatott kiadásához. További információt ebben a szakaszban az Érintett és a Nem érintett szoftverek alszakaszban talál.

A biztonsági frissítés úgy oldja meg a biztonsági rést, hogy kijavítja a JScript- és VBScript-szkriptmotorok által a parancsfájlok weblapokon történő feldolgozásának módját. A biztonsági réssel kapcsolatos további információkért tekintse meg a biztonságirés-bejegyzéssel kapcsolatos gyakori kérdések (GYIK) alszakaszt a biztonságirés-információk című következő szakaszban.

Ajánlás. Az ügyfelek többsége engedélyezte az automatikus frissítést, és nem kell semmilyen műveletet elvégeznie, mert a biztonsági frissítés automatikusan le lesz töltve és telepítve. Azoknak az ügyfeleknek, akik nem engedélyezték az automatikus frissítést, ellenőrizniük kell a frissítéseket, és manuálisan kell telepíteniük a frissítést. Az automatikus frissítés konkrét konfigurációs beállításairól a Microsoft Tudásbázis 294871.

Rendszergazdák és vállalati telepítések, illetve a biztonsági frissítést manuálisan telepíteni kívánó végfelhasználók számára a Microsoft azt javasolja, hogy az ügyfelek a lehető leghamarabb alkalmazzák a frissítést frissítéskezelő szoftverrel, vagy a Microsoft Update szolgáltatással keressenek frissítéseket.

Lásd még a jelen közlemény későbbi, Észlelési és üzembehelyezési eszközei és útmutatója című szakaszt.

Ismert problémák. Egyik sem

Érintett és nem érintett szoftverek

Az alábbi szoftvereket teszteltük annak megállapítására, hogy mely verziókra vagy kiadásokra van hatással. A többi verzió vagy kiadás vagy túllépte a támogatási életciklusukat, vagy nem érinti őket. A szoftververzió vagy -kiadás támogatási életciklusának meghatározásához látogasson el Microsoft ügyfélszolgálata Életciklus lapra.

Érintett szoftver

**A Server Core telepítésére nincs hatással. A frissítés által kezelt biztonsági rések nem érintik a Windows Server 2008 vagy a Windows Server 2008 R2 támogatott kiadásait a Server Core telepítési lehetőség használatával történő telepítéskor. Erről a telepítési lehetőségről további információt a TechNet-cikkekben talál: Server Core-telepítés kezelése és Kiszolgálómag-telepítés karbantartása. Vegye figyelembe, hogy a Server Core telepítési lehetősége nem vonatkozik a Windows Server 2008 és a Windows Server 2008 R2 egyes kiadásaira; lásd a Kiszolgálómag telepítési beállításainak összehasonlítása című témakört.

Nem érintett szoftverek

A biztonsági frissítéssel kapcsolatos gyakori kérdések (GYIK)

Az Internet Explorer 9 telepítve van a rendszeremre. Telepíteni kell ezt a frissítést? 
Szám Ha az Internet Explorer 9 telepítve van a rendszeren, a JScript 5.8 és a VBScript 5.8 szkriptmotorok verziói már naprakészek, és nem igénylik ezt a frissítést. Ha azonban az Internet Explorer 9 nincs telepítve a rendszeren, telepítenie kell a rendszerre telepített JScript- és VBScript-szkriptmotorok megfelelő frissítését. A rendszerre telepített verziók meghatározására vonatkozó utasításokért tekintse meg az alábbi gyakori kérdéseket.

Hogyan határozza meg, hogy a JScript és A VBScript szkriptmotorok mely verziói vannak telepítve a rendszeren? 
A rendszeren telepített JScript- és VBScript-szkriptmotor verziói az Internet Explorer rendszeren telepített verziójától függnek, és az Internet Explorer újabb verziójának telepítésekor megváltoznak. Az Internet Explorer 6 tartalmazza a JScript 5.6 és a VBScript 5.6 szkriptmotorokat; Az Internet Explorer 7 tartalmazza a JScript 5.7 és a VBScript 5.7 szkriptmotorokat; és az Internet Explorer 8 tartalmazza a JScript 5.8 és A VBScript 5.8 szkriptmotorokat. Az Internet Explorer 9 tartalmazza a JScript 5.8 és a VBScript 5.8 szkriptmotorokat is, de az Internet Explorer 9-zel telepített egyes verziók már naprakészek, és nem igénylik ezt a frissítést.

Annak megállapításához, hogy a JScript és A VBScript szkriptmotorok mely verziói vannak telepítve a rendszeren, hajtsa végre a következő lépéseket:

1. Nyissa meg a Windows Intézőt.
2. Lépjen a %systemroot%\system32 könyvtárra.
3. Kattintson a jobb gombbal a jscript.dll, válassza a Tulajdonságok lehetőséget, majd kattintson a Részletek fülre (ismételje meg ezt a lépést az ugyanazon a könyvtárban található vbscript.dll esetében).

A verziószám a Fájlverzió mezőben szerepel. Ha a fájlverzió az 5.8-val kezdődik( például 5.8.7600.16385), akkor a JScript 5.8 telepítve van a rendszeren.

Miért módosították ezt a közleményt 2011. március 8-án? 
A Microsoft egyértelművé tette, hogy az érintett szoftver tartalmazza a Windows 7 for 32 bites Systems Service Pack 1-et, az x64-alapú Windows 7 x64-alapú Systems Service Pack 1-et, az x64-alapú Windows Server 2008 R2-t az x64-alapú Systems Service Pack 1-hez és a Windows Server 2008 R2-t itanium-alapú Systems Service Pack 1-hez.

A Windows 7 32 bites rendszerekhez készült eredeti kiadási verziójának, az x64-alapú Windows 7-nek, az x64-alapú Windows Server 2008 R2-nek és az Itanium-alapú Windows Server 2008 R2-nek az ügyfeleinek, akik már alkalmazták ezt a biztonsági frissítést, nem kell semmilyen műveletet végrehajtaniuk. Azoknak az ügyfeleknek, akik frissítették ezeket az operációs rendszereket a megfelelő Service Pack 1 szervizcsomaggal, alkalmazniuk kell ezt a biztonsági frissítést.

Hol találhatók a fájlinformációk részletei?
A fájlinformációk részleteinek helyéről a Biztonsági frissítés központi telepítése szakaszban található referenciatáblákban olvashat.

A jelen biztonsági közleményben tárgyalt szoftver egy régebbi kiadását használom. Mit tegyek? 
A jelen közleményben felsorolt érintett szoftvereket teszteltük annak megállapítására, hogy mely kiadások érintik az érintett kiadásokat. A többi kiadás túllépte a támogatási életciklusukat. A termék életciklusával kapcsolatos további információkért látogasson el a Microsoft ügyfélszolgálata Életciklus webhelyre.

Prioritásnak kell lennie azoknak az ügyfeleknek, akik a szoftver régebbi kiadásaival rendelkeznek, hogy támogatott kiadásokra migráljanak, hogy megelőzzék a biztonsági réseknek való potenciális kitettséget. A szoftverkiadás támogatási életciklusának meghatározásához lásd : Termék kiválasztása életciklus-információkhoz. A szoftververziók szervizcsomagjaival kapcsolatos további információkért lásd : Életciklus által támogatott szervizcsomagok.

A régebbi szoftverekhez egyéni támogatást igénylő ügyfeleknek kapcsolatba kell lépniük a Microsoft-fiók csapatának képviselőjével, a Technical Account Managerrel vagy a Microsoft megfelelő partneri képviselőjével az egyéni támogatási lehetőségekért. A Szövetség, Premier vagy Hivatalos Szerződéssel nem rendelkező ügyfelek kapcsolatba léphetnek a helyi Microsoft értékesítési irodával. Kapcsolattartási információkért látogasson el a Microsoft Worldwide Information webhelyére, válassza ki az országot a Partneradatok listában, majd kattintson az Ugrás gombra a telefonszámok listájának megtekintéséhez. Amikor telefonál, kérje meg, hogy beszéljen a helyi premier támogatási értékesítési vezetővel. További információ: Microsoft ügyfélszolgálata Életciklus Szabályzat – gyakori kérdések.

Biztonsági rés információi

Súlyossági minősítések és biztonságirés-azonosítók

Az alábbi súlyossági minősítések feltételezik a biztonsági rés lehetséges maximális hatását. A biztonsági rés súlyossági besorolással és biztonsági hatásokkal kapcsolatos kihasználhatóságának valószínűségéről a biztonsági közlemény megjelenésétől számított 30 napon belül tekintse meg a februári közlemény összegzésében található kizsákmányolhatósági indexet. További információ: Microsoft Exploitability Index.

**A Server Core telepítésére nincs hatással. A frissítés által kezelt biztonsági rések nem érintik a Windows Server 2008 vagy a Windows Server 2008 R2 támogatott kiadásait a Server Core telepítési lehetőség használatával történő telepítéskor. Erről a telepítési lehetőségről további információt a TechNet-cikkekben talál: Server Core-telepítés kezelése és Kiszolgálómag-telepítés karbantartása. Vegye figyelembe, hogy a Server Core telepítési lehetősége nem vonatkozik a Windows Server 2008 és a Windows Server 2008 R2 egyes kiadásaira; lásd a Kiszolgálómag telepítési beállításainak összehasonlítása című témakört.

Szkriptelési motorok információfeltárási biztonsági rése – CVE-2011-0031

Memóriasérülési hiba miatt a JScript- és VBScript-szkriptmotorokban információfeltárási biztonsági rés áll fenn. A biztonsági rést sikeresen kihasználó támadó beolvashatja azokat az adatokat, amelyeket nem kívánt közzétenni. Vegye figyelembe, hogy ez a biztonsági rés nem teszi lehetővé a támadó számára a kód végrehajtását vagy a felhasználói jogosultságok közvetlen emelését, de olyan információk beszerzésére használható, amelyek az érintett rendszer további veszélyeztetésére használhatók.

Ha a biztonsági rést standard bejegyzésként szeretné megtekinteni a Gyakori biztonsági rések és kitettségek listában, tekintse meg a CVE-2011-0031 című témakört.

A szkriptmotorok információfeltárási biztonsági résének enyhítése – CVE-2011-0031

A kockázatcsökkentés egy alapértelmezett állapotban meglévő beállításra, általános konfigurációra vagy általános ajánlott eljárásra utal, amely csökkentheti a biztonsági rések kihasználásának súlyosságát. Az alábbi enyhítő tényezők hasznosak lehetnek az Ön helyzetében:

• Webes támadási forgatókönyv esetén a támadó olyan webhelyet üzemeltethet, amely a biztonsági rés kihasználásához használt weblapot tartalmaz. Emellett a felhasználó által biztosított tartalmakat vagy hirdetéseket elfogadó vagy üzemeltető feltört webhelyek és webhelyek speciálisan létrehozott tartalmakat is tartalmazhatnak, amelyek kihasználhatják ezt a biztonsági rést. A támadónak azonban minden esetben nincs módja arra, hogy a felhasználókat ezen webhelyek felkeresésére kényszerítse. Ehelyett a támadónak meg kell győznie a felhasználókat, hogy látogassák meg a webhelyet, általában azáltal, hogy ráveszik őket, hogy egy e-mail vagy csevegőüzenet hivatkozására kattintanak, amely a felhasználókat a támadó webhelyére viszi.
• Alapértelmezés szerint a Microsoft Outlook, a Microsoft Outlook Express és a Windows Mail összes támogatott verziója html formátumú e-maileket nyit meg a Korlátozott helyek zónában, amely letiltja a szkripteket és az ActiveX-vezérlőket, így a támadók ezzel a biztonsági réssel rosszindulatú kódot hajthatnak végre. Ha egy felhasználó egy e-mailben egy hivatkozásra kattint, a felhasználó továbbra is sebezhető lehet a biztonsági rés webes támadási forgatókönyvön keresztül történő kihasználásával szemben.
• Alapértelmezés szerint az Internet Explorer a Windows Server 2008 és a Windows Server 2008 R2 rendszeren korlátozott módban fut, amelyet fokozott biztonsági konfigurációnak nevezünk. Ez a mód csökkenti ezt a biztonsági rést. Az Internet Explorer fokozott biztonsági konfigurációjáról további információt a biztonsági frissítés gyakori kérdések szakaszában talál.

Áthidaló megoldások a szkriptmotorok információfeltárási biztonsági réséhez – CVE-2011-0031

A megkerülő megoldás olyan beállításra vagy konfigurációmódosításra utal, amely nem javítja ki a mögöttes biztonsági rést, de segít blokkolni az ismert támadási vektorokat a frissítés alkalmazása előtt. A Microsoft a következő kerülő megoldásokat és állapotokat tesztelte a vita során, hogy egy kerülő megoldás csökkenti-e a funkciókat:

• Állítsa az internet és a helyi intranet biztonsági zónájának beállításait "Magas" értékre az ActiveX-vezérlők és az aktív szkriptelés letiltásához ezekben a zónákban
  A biztonsági rés kihasználása elleni védelemhez módosíthatja az internetes biztonsági zónára vonatkozó beállításokat, hogy letiltsa az ActiveX-vezérlőket és az Aktív szkriptelést. Ezt úgy teheti meg, hogy magasra állítja a böngésző biztonságát.

  Ha növelni szeretné a böngészés biztonsági szintjét az Internet Explorerben, kövesse az alábbi lépéseket:

  1. Az Internet Explorer Eszközök menüjében kattintson az Internetbeállítások elemre.
  2. Az Internetbeállítások párbeszédpanelen kattintson a Biztonság fülre, majd az Internet ikonra.
  3. A zóna biztonsági szintje alatt mozgassa a csúszkát a Magas értékre. Ezzel beállítja a biztonsági szintet a Magas helyen meglátogatott összes webhelyre vonatkozóan.

  Megjegyzés: Ha nem látható csúszka, kattintson az Alapértelmezett szint gombra, majd helyezze át a csúszkát a Magas értékre.

  Megjegyzés: Ha a szintet magasra állítja, előfordulhat, hogy egyes webhelyek helytelenül működnek. Ha a beállítás módosítása után nehézségekbe ütközik a webhely használata, és biztos benne, hogy a webhely biztonságosan használható, felveheti a webhelyet a megbízható webhelyek listájára. Ez lehetővé teszi, hogy a webhely megfelelően működjön még a Magas értékre beállított biztonsági beállítással is.

  A kerülő megoldás hatása. Az ActiveX-vezérlők és az aktív szkriptek blokkolásának vannak mellékhatásai. Számos internetes vagy intranetes webhely az ActiveX vagy az Active Scripting használatával biztosít további funkciókat. Egy online e-kereskedelmi webhely vagy banki webhely például az ActiveX-vezérlők használatával adhat meg menüket, űrlapokat vagy akár fiókkivonatokat is. Az ActiveX-vezérlők vagy az aktív szkriptelés letiltása egy globális beállítás, amely minden internetes és intranetes webhelyet érint. Ha nem szeretné letiltani az ActiveX-vezérlőket vagy az active scriptinget az ilyen webhelyeken, kövesse a "Megbízható webhelyek hozzáadása az Internet Explorer megbízható helyek zónájában" című témakörben ismertetett lépéseket.

  Megbízható webhelyek hozzáadása az Internet Explorer Megbízható helyek zónához
  Miután beállította, hogy az Internet Explorer letiltsa az ActiveX-vezérlőket és az aktív szkriptelést az internetzónában és a Helyi intranet zónában, hozzáadhat olyan webhelyeket, amelyekben megbízik az Internet Explorer megbízható helyek zónájában. Ez lehetővé teszi, hogy továbbra is megbízható webhelyeket használjon, pontosan ugyanúgy, mint ma, miközben segít megvédeni magát a nem megbízható webhelyek elleni támadástól. Javasoljuk, hogy csak olyan webhelyeket adjon hozzá, amelyekben megbízik a Megbízható helyek zónában.

  Ehhez kövesse az alábbi lépéseket:

  1. Az Internet Explorerben kattintson az Eszközök, az Internetbeállítások, majd a Biztonság fülre.
  2. A Webes tartalom kijelölése zónában az aktuális biztonsági beállítások megadásához kattintson a Megbízható helyek elemre, majd a Webhelyek elemre.
  3. Ha olyan webhelyeket szeretne hozzáadni, amelyek nem igényelnek titkosított csatornát, kattintson a kiszolgáló ellenőrzésének (https:) törléséhez a zóna összes helyéhez jelölőnégyzetből.
  4. A Webhely hozzáadása a zónához mezőbe írja be egy megbízható webhely URL-címét, majd kattintson a Hozzáadás gombra.
  5. Ismételje meg ezeket a lépéseket minden olyan webhelynél, amelyet hozzá szeretne adni a zónához.
  6. Kattintson kétszer az OK gombra a módosítások elfogadásához és az Internet Explorerhez való visszatéréshez.

  Megjegyzés: Vegye fel azokat a webhelyeket, amelyekben megbízik, hogy ne tegyen kártékony műveletet a rendszeren. A * .windowsupdate.microsoft.com és a *.update.microsoft.com. Ezek a webhelyek fogják üzemeltetni a frissítést, és a frissítés telepítéséhez ActiveX-vezérlőre van szükség.

• Az Internet Explorer konfigurálása arra, hogy az aktív szkriptelés futtatása előtt kérje a kérést, vagy tiltsa le az aktív szkriptelést az internet és a helyi intranet biztonsági zónájában
  A biztonsági rés kihasználása elleni védelemhez módosíthatja a beállításokat, hogy az aktív szkriptelés futtatása előtt kérje a kérést, vagy tiltsa le az aktív szkriptelést az internet és a helyi intranet biztonsági zónájában. Ehhez kövesse az alábbi lépéseket:

  1. Az Internet Explorerben kattintson az Eszközök menü Internetbeállítások parancsára.
  2. Kattintson a Biztonság fülre.
  3. Kattintson az Internet, majd az Egyéni szint elemre.
  4. A Gépház alatt, a Szkriptelés szakaszban, az Aktív szkriptelés csoportban kattintson a **Prompt **or Disable( Letiltás) gombra, majd kattintson az OK gombra.
  5. Kattintson a Helyi intranet, majd az Egyéni szint elemre.
  6. A Gépház alatt, a Szkriptelés szakaszban, az Aktív szkriptelés csoportban kattintson a **Prompt **or Disable( Letiltás) gombra, majd kattintson az OK gombra.
  7. Kattintson kétszer az OK gombra az Internet Explorerbe való visszatéréshez.

  Megjegyzés: Az aktív parancsfájlok internetes és helyi intranetes biztonsági zónákban való letiltása egyes webhelyek helytelen működését okozhatja. Ha a beállítás módosítása után nehézségekbe ütközik a webhely használata, és biztos benne, hogy a webhely biztonságosan használható, felveheti a webhelyet a megbízható webhelyek listájára. Ez lehetővé teszi a webhely megfelelő működését.

  A kerülő megoldás hatása. Az Active Scripting futtatása előtt mellékhatásokat kell kérnie. Számos internetes vagy intranetes webhely aktív szkriptelést használ a további funkciók biztosításához. Egy online e-kereskedelmi webhely vagy banki webhely például használhatja az Active Scriptinget menük, űrlapok megrendelése vagy akár fiókkivonatok megadására. Az aktív szkriptelés futtatása előtt történő kérés globális beállítás, amely az összes internetes és intranetes webhelyre hatással van. A kerülő megoldás engedélyezésekor a rendszer gyakran kéri. Minden egyes kérdésnél, ha úgy érzi, hogy megbízik a meglátogatott webhelyben, kattintson az Igen gombra az Aktív szkriptelés futtatásához. Ha nem szeretné, hogy ezekre a webhelyekre kérje a rendszer, kövesse a "Megbízható webhelyek hozzáadása az Internet Explorer megbízható helyek zónájában" című témakörben ismertetett lépéseket.

  Megbízható webhelyek hozzáadása az Internet Explorer Megbízható helyek zónához

  Miután beállította, hogy az Internet Explorer az ActiveX-vezérlők és az Active Scripting futtatása előtt kérjen egy kérést az internetzónában és a Helyi intranet zónában, hozzáadhat olyan webhelyeket, amelyekben megbízik az Internet Explorer megbízható helyek zónájában. Ez lehetővé teszi, hogy továbbra is megbízható webhelyeket használjon, pontosan ugyanúgy, mint ma, miközben segít megvédeni Önt a nem megbízható webhelyek elleni támadástól. Javasoljuk, hogy csak olyan webhelyeket adjon hozzá, amelyekben megbízik a Megbízható helyek zónában.

  Ehhez kövesse az alábbi lépéseket:

  1. Az Internet Explorerben kattintson az Eszközök, az Internetbeállítások, majd a Biztonság fülre.
  2. A Webes tartalom kijelölése zónában az aktuális biztonsági beállítások megadásához kattintson a Megbízható helyek elemre, majd a Webhelyek elemre.
  3. Ha olyan webhelyeket szeretne hozzáadni, amelyek nem igényelnek titkosított csatornát, kattintson a kiszolgáló ellenőrzésének (https:) törléséhez a zóna összes helyéhez jelölőnégyzetből.
  4. A Webhely hozzáadása a zónához mezőbe írja be egy megbízható webhely URL-címét, majd kattintson a Hozzáadás gombra.
  5. Ismételje meg ezeket a lépéseket minden olyan webhelynél, amelyet hozzá szeretne adni a zónához.
  6. Kattintson kétszer az OK gombra a módosítások elfogadásához és az Internet Explorerhez való visszatéréshez.

  Megjegyzés: Vegye fel azokat a webhelyeket, amelyekben megbízik, hogy ne tegyen kártékony műveletet a rendszeren. A * .windowsupdate.microsoft.com és a *.update.microsoft.com. Ezek a webhelyek fogják üzemeltetni a frissítést, és a frissítés telepítéséhez ActiveX-vezérlőre van szükség.

Gyakori kérdések a szkriptmotorok információfeltárási biztonsági résével kapcsolatban – CVE-2011-0031

Mi a biztonsági rés hatóköre? 
Ez egy információfeltáró biztonsági rés. A biztonsági rést sikeresen kihasználó támadó képes lesz olyan adatokat olvasni, amelyeket nem kívánt közzétenni. Vegye figyelembe, hogy ez a biztonsági rés nem teszi lehetővé a támadó számára a kód végrehajtását vagy a felhasználói jogosultságok közvetlen emelését, de olyan információk beszerzésére használható, amelyek az érintett rendszer további veszélyeztetésére használhatók.

Mi okozza a biztonsági rést? 
A biztonsági rést az okozza, ahogyan a JScript- és VBScript-szkriptelési motorok feldolgozzák a szkripteket a weblapokon. Amikor a szkriptmotor megpróbálja betölteni a dekódolt szkriptet a memóriába annak futtatásához, memóriasérülés léphet fel. Az információk nyilvánosságra hozatalának következményei az információ jellegétől függenek.

Mi az a JScript? 
A JScript egy értelmezett, objektumalapú szkriptnyelv, amelyet gyakran használnak a webhelyek rugalmasabbá vagy interaktívabbá tételéhez. A JScript-szkriptek csak tolmács vagy gazdagép jelenlétében futtathatók, például Active Server Pages (ASP), Internet Explorer vagy Windows-szkriptgazda jelenlétében. Pontosabban a JScript az ECMA 262 nyelvi specifikáció (ECMAScript Edition 3) Microsoft-implementációja. További információkért lásd az MSDN-cikket, a JScript alapjait, vagy látogasson el az ECMA International webhelyére.

Mi az a VBScript? 
A VBScript (Visual Basic Script) egy értelmezett, objektumalapú szkriptnyelv, amelyet gyakran használnak a webhelyek rugalmasabbá vagy interaktívabbá tételéhez. A VBScript-szkriptek csak értelmező vagy gazdagép jelenlétében futtathatók, például Active Server Pages (ASP), Internet Explorer vagy Windows-szkriptgazda jelenlétében. További információkért tekintse meg az MSDN VBScript alapjai című cikkét.

Mire használhatja a támadó a biztonsági rést? 
A biztonsági rést sikeresen kihasználó támadó képes lesz olyan adatokat olvasni, amelyeket nem kívánt közzétenni.

Hogyan használhatja ki a támadó a biztonsági rést? 
A támadó egy speciálisan kialakított webhelyet üzemeltethet, amely a biztonsági rés kihasználására szolgál, majd meggyőzheti a felhasználót, hogy látogasson el a webhelyre. Ide tartozhatnak a felhasználó által megadott tartalmakat vagy hirdetéseket elfogadó vagy üzemeltető, sérült webhelyek és webhelyek is. Ezek a webhelyek speciálisan létrehozott tartalmakat tartalmazhatnak, amelyek kihasználhatják ezeket a biztonsági réseket. A támadónak azonban minden esetben nincs módja arra, hogy a felhasználókat ezen webhelyek felkeresésére kényszerítse. Ehelyett a támadónak meg kell győznie a felhasználókat, hogy látogassák meg a webhelyet, általában úgy, hogy egy e-mailben vagy egy Csevegőüzenetben egy hivatkozásra kattintanak, amely a felhasználókat a támadó webhelyére viszi. Az is lehetséges, hogy speciálisan kialakított webes tartalmakat jelenítsünk meg szalaghirdetések használatával vagy más módszerekkel, hogy webes tartalmakat szállítsunk az érintett rendszereknek.

Mely rendszerek vannak elsősorban veszélyben a sebezhetőség miatt? 
Elsősorban azok az ügyfél-, munkaállomás- vagy terminálkiszolgáló-rendszerek vannak veszélyben, amelyekben az Internet Explorer a weblapok böngészésére szolgál.

Az Internet Explorert Windows Server 2008 vagy Windows Server 2008 R2 rendszeren futtatom. Ez enyhíti ezt a biztonsági rést? 
Igen. Alapértelmezés szerint az Internet Explorer a Windows Server 2008 és a Windows Server 2008 R2 rendszeren korlátozott módban fut, amelyet fokozott biztonsági konfigurációnak nevezünk. A továbbfejlesztett biztonsági konfiguráció az Internet Explorer előre konfigurált beállításainak egy csoportja, amely csökkentheti annak valószínűségét, hogy egy felhasználó vagy rendszergazda speciálisan létrehozott webes tartalmat tölt le és futtat egy kiszolgálón. Ez enyhítő tényező azon webhelyek esetében, amelyeket nem adott hozzá az Internet Explorer megbízható helyek zónához.

Mit tesz a frissítés? 
Ez a biztonsági frissítés úgy oldja meg a biztonsági rést, hogy kijavítja a JScript- és VBScript-szkriptmotorok weblapokon történő feldolgozásának módját.

A biztonsági közlemény kiadásakor nyilvánosságra hozták-e ezt a biztonsági rést? 
Szám A Microsoft összehangolt biztonságirés-közzététellel kapott információt erről a biztonsági résről.

A biztonsági közlemény kiadásakor a Microsoft kapott-e jelentést arról, hogy a biztonsági rést kihasználták? 
Szám A Microsoft nem kapott információt arról, hogy ezt a biztonsági rést nyilvánosan használták az ügyfelek támadására a biztonsági közlemény eredeti kiadásakor.

Frissítési információk

Észlelési és üzembehelyezési eszközök és útmutató

Security Central

Kezelheti a szervezet kiszolgálóin, asztali és mobilrendszerein üzembe helyezendő szoftver- és biztonsági frissítéseket. További információ: TechNet Update Management Center. A Microsoft TechNet Security webhely további információkat nyújt a Microsoft-termékek biztonságáról.

A biztonsági frissítések a Microsoft Update és a Windows Update szolgáltatásból érhetők el. A biztonsági frissítések a Microsoft letöltőközpontból is elérhetők. A legegyszerűbben a "biztonsági frissítés" kulcsszóra való kereséssel találhatja meg őket.

Végül a biztonsági frissítések letölthetők a Microsoft Update-katalógusból. A Microsoft Update katalógusa kereshető katalógust biztosít a Windows Update és a Microsoft Update által elérhetővé tett tartalmakról, beleértve a biztonsági frissítéseket, az illesztőprogramokat és a szervizcsomagokat. A biztonsági közlemény számának (például "MS07-036" ) használatával történő kereséssel hozzáadhatja az összes vonatkozó frissítést a kosárhoz (beleértve a frissítés különböző nyelveit is), és letöltheti az Ön által választott mappába. A Microsoft Update-katalógussal kapcsolatos további információkért tekintse meg a Microsoft Update-katalógussal kapcsolatos gyakori kérdéseket.

Észlelési és üzembe helyezési útmutató

A Microsoft észlelési és üzembe helyezési útmutatót nyújt a biztonsági frissítésekhez. Ez az útmutató olyan javaslatokat és információkat tartalmaz, amelyek segítenek az informatikai szakembereknek megérteni, hogyan használhatnak különböző eszközöket a biztonsági frissítések észlelésére és üzembe helyezésére. További információt a Microsoft Tudásbázis 961747.

Microsoft Baseline Security Analyzer

A Microsoft Baseline Security Analyzer (MBSA) lehetővé teszi a rendszergazdák számára, hogy a hiányzó biztonsági frissítéseket, valamint a gyakori biztonsági konfigurációkat a helyi és távoli rendszerekben kereszék. Az MBSA-ról további információt a Microsoft Baseline Security Analyzerben talál.

Az alábbi táblázat a biztonsági frissítés MBSA-észlelési összegzését tartalmazza.

Megjegyzés: Ha az MBSA, a Microsoft Update és a Windows Server Update Services legújabb kiadása nem támogatja az örökölt szoftvereket, látogasson el a Microsoft Baseline Security Analyzerbe , és tekintse meg az örökölt terméktámogatási szakaszt, amely bemutatja, hogyan hozhat létre átfogó biztonsági frissítésészlelést az örökölt eszközökkel.

Windows Server Update Services

A Windows Server Update Services (WSUS) lehetővé teszi az informatikai rendszergazdák számára, hogy a Legújabb Microsoft-termékfrissítéseket a Windows operációs rendszert futtató számítógépekre telepítsenek. A biztonsági frissítések Windows Server Update Services használatával történő üzembe helyezésével kapcsolatos további információkért tekintse meg a TechNet Windows Server Update Services című cikkét.

Rendszerfelügyeleti kiszolgáló

Az alábbi táblázat a biztonsági frissítés SMS-észlelési és üzembe helyezési összegzését tartalmazza.

AZ SMS 2.0 és az SMS 2003 esetén az SMS a biztonsági frissítések észlelésére használhatja a Security Update Inventory Tool (SUIT) eszközt. Lásd még a Systems Management Server 2.0 letöltéseit.

SMS 2003 esetén az SMS 2003 Inventory Tool for Microsoft Frissítések (ITMU) sms-ben észlelheti a Microsoft Update által kínált és a Windows Server Update Services által támogatott biztonsági frissítéseket. További információ az SMS 2003 ITMU-ról: SMS 2003 Inventory Tool for Microsoft Frissítések. További információ az SMS-ellenőrző eszközökről: SMS 2003 Szoftverfrissítés-ellenőrző eszközök. Lásd még a Systems Management Server 2003 letöltéseit.

A System Center Configuration Manager 2007 a WSUS 3.0-s verziójával észleli a frissítéseket. A Configuration Manager 2007 szoftverfrissítés-kezelésével kapcsolatos további információkért látogasson el a System Center Configuration Manager 2007-be.

Az SMS-ről további információt az SMS webhelyén talál.

További információt a Microsoft Tudásbázis 910723: A havi észlelési és üzembe helyezési útmutatók összefoglaló listája című cikkben talál.

Kompatibilitás-kiértékelő és alkalmazáskompatibilitási eszközkészlet frissítése

Frissítések gyakran ugyanazokba a fájlokba és beállításjegyzék-beállításokba kell írnia, amelyek az alkalmazások futtatásához szükségesek. Ez inkompatibilitásokat válthat ki, és növelheti a biztonsági frissítések üzembe helyezéséhez szükséges időt. Az Alkalmazáskompatibilitási eszközkészletben található Frissítéskompatibilitás-kiértékelő összetevőkkel egyszerűsítheti a Windows-frissítések tesztelését és érvényesítését a telepített alkalmazásokon.

Az alkalmazáskompatibilitási eszközkészlet (ACT) tartalmazza a szükséges eszközöket és dokumentációt az alkalmazáskompatibilitási problémák kiértékeléséhez és elhárításához a Microsoft Windows Vista, a Windows Update, a Microsoft Security Update vagy a Windows Internet Explorer új verziójának telepítése előtt a környezetben.

Biztonsági frissítés üzembe helyezése

Érintett szoftver

Az érintett szoftver adott biztonsági frissítésével kapcsolatos információkért kattintson a megfelelő hivatkozásra:

Windows 7 (minden kiadás)

Referenciatábla

Az alábbi táblázat a szoftver biztonsági frissítési adatait tartalmazza. Ebben a szakaszban az Üzembe helyezési információk alszakaszban talál további információkat.

Üzembe helyezési információk

A frissítés telepítése

A biztonsági frissítés telepítésekor a telepítő ellenőrzi, hogy a rendszeren frissített fájlok közül egy vagy több már frissült-e korábban a Microsoft gyorsjavításával.

A jelen közleményben megjelenő terminológiáról, például a gyorsjavításról további információt a Microsoft Tudásbázis 824684.

Ez a biztonsági frissítés a következő beállítási kapcsolókat támogatja.

Megjegyzés: További információ a wusa.exe telepítőjéről: "Windows Update önálló telepítő" A Windows 7 egyéb változásai című TechNet-cikkben.

A frissítés alkalmazásának ellenőrzése

• Microsoft Baseline Security Analyzer
  Ha ellenőrizni szeretné, hogy egy biztonsági frissítés alkalmazva lett-e az érintett rendszerre, használhatja a Microsoft Baseline Security Analyzer (MBSA) eszközt. További információt a jelen közlemény korábbi, Észlelési és üzembehelyezési eszközei és útmutatója című szakaszában talál.

• Fájlverzió ellenőrzése
  Mivel a Microsoft Windows több kiadást is tartalmaz, a következő lépések eltérhetnek a rendszeren. Ha vannak ilyenek, tekintse meg a termékdokumentációt a lépések elvégzéséhez.

  1. Kattintson a Start gombra, majd adjon meg egy frissítési fájlnevet a Keresőmezőbe.
  2. Amikor megjelenik a fájl a Programok területen, kattintson a jobb gombbal a fájl nevére, és válassza a Tulajdonságok parancsot.
  3. Az Általános lapon hasonlítsa össze a fájlméretet a kb.
     Megjegyzés: Az operációs rendszer kiadásától vagy a rendszeren telepített programoktól függően előfordulhat, hogy a fájlinformációs táblázatban felsorolt fájlok némelyike nem lesz telepítve.
  4. A Részletek fülre kattintva összehasonlíthatja az olyan információkat, mint a fájlverzió és a módosított dátum, valamint a kb.
     Megjegyzés: A fájlverziótól eltérő attribútumok a telepítés során változhatnak. Az egyéb fájlattribútumok és a fájlinformációs tábla adatainak összehasonlítása nem támogatott módszer a frissítés alkalmazásának ellenőrzésére. Bizonyos esetekben a fájlok átnevezhetők a telepítés során. Ha a fájl- vagy verzióinformációk nem találhatók meg, a frissítés telepítésének ellenőrzéséhez használja a többi elérhető módszer egyikét.
  5. Végül az Előző verziók fülre kattintva összehasonlíthatja a fájl előző verziójának fájladatait a fájl új vagy frissített verziójának fájladataival.

Windows Server 2008 R2 (minden kiadás)

Referenciatábla

Az alábbi táblázat a szoftver biztonsági frissítési adatait tartalmazza. Ebben a szakaszban az Üzembe helyezési információk alszakaszban talál további információkat.

Üzembe helyezési információk

A frissítés telepítése

A biztonsági frissítés telepítésekor a telepítő ellenőrzi, hogy a rendszeren frissített fájlok közül egy vagy több már frissült-e korábban a Microsoft gyorsjavításával.

A jelen közleményben megjelenő terminológiáról, például a gyorsjavításról további információt a Microsoft Tudásbázis 824684.

Ez a biztonsági frissítés a következő beállítási kapcsolókat támogatja.

Megjegyzés: További információ a wusa.exe telepítőjéről: "Windows Update önálló telepítő" A Windows 7 egyéb változásai című TechNet-cikkben.

A frissítés alkalmazásának ellenőrzése

• Microsoft Baseline Security Analyzer
  Ha ellenőrizni szeretné, hogy egy biztonsági frissítés alkalmazva lett-e az érintett rendszerre, használhatja a Microsoft Baseline Security Analyzer (MBSA) eszközt. További információt a jelen közlemény korábbi, Észlelési és üzembehelyezési eszközei és útmutatója című szakaszában talál.

• Fájlverzió ellenőrzése
  Mivel a Microsoft Windows több kiadást is tartalmaz, a következő lépések eltérhetnek a rendszeren. Ha vannak ilyenek, tekintse meg a termékdokumentációt a lépések elvégzéséhez.

  1. Kattintson a Start gombra, majd írja be a fájl nevét a Keresés indítása mezőbe.
  2. Amikor megjelenik a fájl a Programok területen, kattintson a jobb gombbal a fájl nevére, és válassza a Tulajdonságok parancsot.
  3. Az Általános lapon hasonlítsa össze a fájlméretet a kb.
     Megjegyzés: Az operációs rendszer kiadásától vagy a rendszeren telepített programoktól függően előfordulhat, hogy a fájlinformációs táblázatban felsorolt fájlok némelyike nem lesz telepítve.
  4. A Részletek fülre kattintva összehasonlíthatja az olyan információkat, mint a fájlverzió és a módosított dátum, valamint a kb.
     Megjegyzés: A fájlverziótól eltérő attribútumok a telepítés során változhatnak. Az egyéb fájlattribútumok és a fájlinformációs tábla adatainak összehasonlítása nem támogatott módszer a frissítés alkalmazásának ellenőrzésére. Bizonyos esetekben a fájlok átnevezhetők a telepítés során. Ha a fájl- vagy verzióinformációk nem találhatók meg, a frissítés telepítésének ellenőrzéséhez használja a többi elérhető módszer egyikét.
  5. Végül az Előző verziók fülre kattintva összehasonlíthatja a fájl előző verziójának fájladatait a fájl új vagy frissített verziójának fájladataival.

Egyéb információk

Köszönetnyilvánítás

A Microsoft köszönetét fejezi ki az alábbiakért, hogy együttműködve segít az ügyfelek védelmében:

• Yamata Li a Palo Alto Networks-ből a szkriptelési motorok információfeltárási biztonsági résének jelentéséhez (CVE-2011-0031)

Microsoft Active Protections Program (MAPP)

Az ügyfelek biztonságának javítása érdekében a Microsoft minden havi biztonsági frissítési kiadás előtt sebezhetőségi információkat nyújt a főbb biztonsági szoftverszolgáltatóknak. A biztonsági szoftverszolgáltatók ezt a biztonsági résinformációt felhasználhatják arra, hogy biztonsági szoftvereiken vagy eszközeiken keresztül frissített védelmet nyújtsanak az ügyfeleknek, például víruskereső, hálózati behatolásészlelő rendszerek vagy gazdagépalapú behatolás-megelőzési rendszerek segítségével. Annak megállapításához, hogy az aktív védelem elérhető-e a biztonsági szoftverszolgáltatóktól, keresse fel a programpartnerek által biztosított aktív védelmi webhelyeket a Microsoft Active Protections Program (MAPP) partnerei között.

Támogatás

• Az Egyesült Államokban és Kanadában lévő ügyfelek technikai támogatást kaphatnak a biztonsági támogatástól vagy az 1-866-PCSAFETY-től. A biztonsági frissítésekhez társított támogatási hívások díjmentesek. Az elérhető támogatási lehetőségekről további információt a Microsoft súgójában és támogatásában talál.
• A nemzetközi ügyfelek támogatást kaphatnak helyi Microsoft-leányvállalataiktól. A biztonsági frissítésekhez társított támogatás díjmentes. További információt arról, hogyan léphet kapcsolatba a Microsofttal támogatási problémák esetén, látogasson el a nemzetközi támogatási webhelyre.

Felelősséget kizáró nyilatkozat

A Microsoft Tudásbázisban megadott információk "az adott módon" vannak megadva, semmilyen garancia nélkül. A Microsoft kizár minden kifejezett vagy vélelmezett garanciát, beleértve a kereskedelmi forgalomra és az adott célra való alkalmasságra vonatkozó szavatosságot. A Microsoft Corporation vagy beszállítói semmilyen esetben sem vonhatók felelősségre semmilyen kárért, beleértve a közvetlen, közvetett, járulékos, következményi, üzleti nyereség elvesztését vagy különleges károkat, még akkor sem, ha a Microsoft Corporationt vagy szállítóit értesítették az ilyen károk lehetőségéről. Egyes államok nem teszik lehetővé a következményi vagy járulékos károkért való felelősség kizárását vagy korlátozását, így a fenti korlátozás nem alkalmazható.

Változatok

• 1.0-s verzió (2011. február 8.): Közlemény megjelent.
• V2.0 (2011. március 8.): Tisztázta az érintett szoftvert, hogy tartalmazza a Windows 7 for 32 bites Systems Service Pack 1-et, az x64-alapú Windows 7 x64-alapú Systems Service Pack 1-et, az x64-alapú Windows Server 2008 R2-t és az Itanium-alapú Windows Server 2008 R2 1-et. Tekintse meg a biztonsági frissítéssel kapcsolatos gyakori kérdések (GYIK) című szakasz bejegyzését, amely ismerteti ezt a változatot.
• V2.1 (2012. augusztus 14.): Egyértelművé tette, hogy a rendszerre telepített Internet Explorer 9-et használó felhasználóknak nem kell telepíteniük ezt a frissítést. További információt a biztonsági frissítéssel kapcsolatos gyakori kérdések (GYIK) című szakaszban talál.

Készült: 2014-04-18T13:49:36Z-07:00