Microsoft-beveiligingsbulletin MS11-016 - Belangrijk

Met beperkende factoren wordt verwezen naar een instelling, de algehele configuratie of algemene tips voor een standaardstatus waarmee de ernst van misbruik via een beveiligingslek kan worden verminderd. De volgende beperkende factoren kunnen in uw situatie van pas komen:

• Een aanval lukt alleen als een gebruiker een niet-vertrouwde externe bestandssysteemlocatie of WebDAV-share bezoekt en een aan Groove gerelateerd bestand opent (bijvoorbeeld een VCG- of GTA-bestand).
• Het SMB-protocol (Server Message Block) voor bestandsdeling wordt dikwijls uitgeschakeld bij de omgevingsfirewall. Dit beperkt de mogelijke aanvalsvectoren voor dit beveiligingslek.
• Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als de lokale gebruiker. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.

Tijdelijke oplossingen zijn wijzigingen in een instelling of configuratie waardoor het beveiligingslek zelf niet wordt gedicht, maar waarmee aanvalsvectoren wel worden geblokkeerd voordat u de update uitvoert. Microsoft heeft de volgende methoden en statussen om het probleem te omzeilen getest om uit te zoeken of een tijdelijke oplossing functionaliteit vermindert:

• Schakel het laden van bibliotheken van WebDAV en externe netwerkshares uit

  Opmerking Zie Microsoft Knowledge Base-artikel 2264107 voor het gebruik van een tijdelijke oplossing waarmee klanten het laden van bibliotheken van WebDAV- en externe netwerkshares kunnen uitschakelen. Dit hulpprogramma kan zo worden geconfigureerd dat het op onveilige wijze laden per toepassing of in het hele systeem niet is toegestaan.

  Klanten die via hun leverancier hebben vernomen dat een toepassing kwetsbaar is, kunnen zich met dit hulpprogramma beschermen tegen misbruik van dit probleem.

  Opmerking Zie Microsoft Knowledge Base-artikel 2264107 voor gebruik van de automatische Microsoft Fix it-oplossing om de registersleutel te gebruiken om hat laden van bibliotheken van SMB- en WebDAV-shares uit te schakelen. Voor deze Fix it-oplossing moet u ook eerst de tijdelijke oplossing installeren die wordt beschreven in Microsoft Knowledge Base-artikel 2264107. Deze Fix it-oplossing implementeert alleen de registersleutel en werkt pas in combinatie met de tijdelijke oplossing. Wij raden beheerders aan het KB-artikel nauwkeurig door te lezen voordat ze deze Fix it-oplossing toepassen.

• De WebClient-service uitschakelen

  Het uitschakelen van de WebClient-service helpt getroffen systemen te beschermen tegen pogingen tot misbruik van dit beveiligingslek door de meest waarschijnlijke aanvalsvector via de WebDAV-clientservice (Web Distributed Authoring and Versioning) te blokkeren. Nadat u deze tijdelijke oplossing hebt toegepast, kunnen externe aanvallers die misbruik weten te maken van dit beveiligingslek nog steeds zorgen dat het systeem programma's uitvoert die zich bevinden op de computer of het LAN van de aangevallen gebruiker, maar de gebruiker wordt gevraagd zijn keuze te bevestigen voordat willekeurige programma's van internet worden geopend.

  Als u de WebClient-service wilt uitschakelen, gaat u als volgt te werk:

  1. Klik op Start en Uitvoeren, typ Services.msc in en klik vervolgens op OK.
  2. Klik met de rechtermuisknop op WebClient-service en selecteer Eigenschappen.
  3. Wijzig het opstarttype in Uitgeschakeld. Klik als de service wordt uitgevoerd op Stoppen.
  4. Klik op OK en sluit de beheertoepassing.

  Gevolgen van de tijdelijke oplossing. Als de WebClient-service is uitgeschakeld, worden WebDAV-verzoeken (Web Distributed Authoring and Versioning) niet meer doorgegeven. Daarnaast worden services die afhankelijk zijn van de WebClient-service niet gestart en wordt er een foutbericht geregistreerd in het systeemlogboek. Gedeelde WebDAV-bestanden zijn bijvoorbeeld niet toegankelijk met de clientcomputer.

  De tijdelijke oplossing ongedaan maken.

  Als u de WebClient-service wilt uitschakelen, gaat u als volgt te werk:

  1. Klik op Start en Uitvoeren, typ Services.msc in en klik vervolgens op OK.
  2. Klik met de rechtermuisknop op WebClient-service en selecteer Eigenschappen.
  3. Wijzig het opstarttype in Automatisch. Als de service niet wordt uitgevoerd, klikt u op Start.
  4. Klik op OK en sluit de beheertoepassing.
• Blokkeer TCP-poorten 139 en 445 op de firewall

  Deze poorten worden gebruikt om een verbinding tot stand te brengen met het onderdeel waarin dit probleem optreedt. Door TCP-poort 139 en 445 op de firewall te blokkeren zorgt u ervoor dat op systemen achter deze firewall geen aanvallen kunnen worden uitgevoerd. U wordt aanbevolen alle ongewenste inkomende communicatie via internet te blokkeren om aanvallen te voorkomen waarvoor andere poorten worden gebruikt. Zie het TechNet-artikel TCP and UDP Port Assignments voor meer informatie over poorten.

  Gevolgen van de tijdelijke oplossing. Verscheidene Windows-services maken gebruik van de poorten waarvoor dit probleem geldt. Het blokkeren van de verbinding met de poorten kan ertoe leiden dat verschillende toepassingen of services niet werken. Hieronder worden enkele toepassingen of services genoemd die zijn getroffen:

  • Toepassingen die SMB (CIFS) gebruiken
  • Toepassingen die mailslots of named pipes (RPC over SMB) gebruiken
  • Servers (het delen van bestanden en printers)
  • Groepsbeleid
  • Net Logon
  • Distributed File System (DFS)
  • Terminal Server Licensing
  • Print Spooler
  • Computer Browser
  • Remote Procedure Call Locator
  • Fax Service
  • Indexing-service
  • Prestatielogboeken en signalen
  • Systems Management Server
  • License Logging-service

  De tijdelijke oplossing ongedaan maken. Hef de blokkering van TCP-poorten 139 en 445 bij de firewall op. Ga naar TCP and UDP Port Assignments voor meer informatie over poorten.

Wat is de omvang van het probleem?  
Dit beveiligingslek heeft betrekking op de uitvoering van externe code. Een aanvaller die misbruik weet te maken van dit beveiligingslek, kan volledige controle krijgen over een systeem waarin dit probleem optreedt. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken.

Waardoor wordt het beveiligingslek veroorzaakt?  
Het beveiligingslek wordt veroorzaakt wanneer Microsoft Groove 2007 onjuist gebruikmaakt van het pad voor het laden van extern bibliotheken.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?  
Een aanvaller die misbruik weet te maken van dit beveiligingslek kan zich voordoen als de aangemelde gebruiker en zo willekeurige programmacode uitvoeren. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken. Als een gebruiker met beheerdersrechten is aangemeld, kan een aanvaller volledige controle krijgen over het systeem waarin dit probleem optreedt. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.

Hoe kan een aanvaller dit beveiligingslek misbruiken?  
Een aanvaller kan een gebruiker overhalen om een legitiem aan Groove gerelateerd bestand (bijvoorbeeld een VCG- of GTA-bestand) te openen dat zich bevindt in dezelfde netwerkmap als een speciaal vervaardigd DLL-bestand (Dynamic Link Library). Wanneer het legitieme bestand wordt geopend, kan Microsoft Groove 2007 proberen het DLL-bestand te laden en eventuele code in dit bestand uit te voeren.

In een aanval per e-mail kan een aanvaller misbruik maken van het beveiligingslek door een legitieme aan Groove gerelateerde bestandsbijlage (bijvoorbeeld een VCG- of GTA-bestand) naar een gebruiker te sturen, de gebruiker over te halen om de bijlage te plaatsen in een map die een speciaal vervaardigd DLL-bestand bevat en het legitieme bestand te openen. Wanneer het legitieme bestand wordt geopend, kan Microsoft Groove 2007 proberen het DLL-bestand te laden en eventuele code in dit bestand uit te voeren.

In een aanval via het netwerk kan een aanvaller een legitiem aan Groove gerelateerd bestand en een speciaal vervaardigde DLL in een netwerkshare plaatsen, bijvoorbeeld een UNC- of WebDAV-locatie, en de gebruiker overhalen om het bestand te openen.

Wat is een Microsoft Groove vCard-bestand (.vcg)?  
De vCard-indeling is een bestandsindelingsstandaard voor elektronische visitekaartjes. Microsoft Groove vCard-bestanden (.vcg) worden gebruikt om contactpersonen in de vCard-indeling op te slaan.

Wat is een Microsoft Groove Tool Archive-bestand (.gta)?  
Microsoft Groove Tool Archive-bestanden (.gta) worden gebruikt voor Groove-hulpprogramma's. Dit zijn mini-toepassingen die zijn gebaseerd op de onderliggende mogelijkheid van Groove om inhoud te verspreiden en te synchroniseren met exemplaren van de Groove-werkruimte van andere leden.

Voor welke systemen vormt dit beveiligingslek het grootste risico?  
Dit beveiligingslek treft hoofdzakelijk werkstations van gebruikers die gemakkelijk bijlagen van niet-vertrouwde netwerklocaties openen. Servers lopen ook gevaar als beheerders toestaan dat gebruikers zich op servers aanmelden en programma's uitvoeren. Dit is echter volkomen in strijd met de aanbevolen richtlijnen voor gebruik.

Wat doet de update?  
De update lost dit beveiligingslek op door de manier te verbeteren waarop Microsoft Groove 2007 externe bibliotheken laadt.

Bestaat er een verband tussen dit beveiligingslek en Microsoft-beveiligingsadvies 2269637?  
Ja, het beveiligingslek dat met deze update wordt opgelost, houdt verband met de klasse van beveiligingslekken, beschreven in Microsoft-beveiligingsadvies 2269637, die beïnvloeden hoe toepassingen externe bibliotheken laden. Deze beveiligingsupdate lost een bijzonder geval van dit soort beveiligingslek op.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Ja. Dit beveiligingslek is openbaar gemaakt. Aan dit beveiligingslek is nummer CVE-2011-0108 toegewezen.

Was aan Microsoft gerapporteerd dat er misbruik was gemaakt van dit beveiligingslek op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Nee. Microsoft heeft geen informatie ontvangen die erop wees dat dit beveiligingslek was gebruikt om aanvallen uit te voeren op klanten op het moment dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Helpt de toepassing van deze beveiligingsupdate klanten om zich te beschermen tegen de openbaar gepubliceerde code die is gericht op misbruik van dit beveiligingslek?  
Ja. Deze beveiligingsupdate dicht het beveiligingslek dat mogelijk kon worden misbruikt via het gepubliceerde voorbeeld van conceptcode. Het beveiligingslek is opgelost en hieraan is het nummer CVE-2011-0108 toegewezen.

Referentietabel

In de volgende tabel vindt u informatie over de beveiligingsupdate voor deze software. Aanvullende informatie vindt u in de subsectie Informatie over implementatie van deze sectie.