Biuletyn zabezpieczeń firmy Microsoft MS12-002 - Ważna

Ograniczenie sprowadza się do odpowiedniego ustawienia, typowej konfiguracji lub najważniejszej wskazówki ogólnej, które istnieją w stanie domyślnym i mogą zmniejszyć zagrożenie wykorzystaniem omawianej luki w zabezpieczeniach. W tej sytuacji pomocne mogą być następujące czynniki ograniczające zagrożenie:

• Aby atak się powiódł, użytkownik musi odwiedzić niezaufaną zdalną lokalizację systemu plików lub udział WebDAV i otworzyć prawidłowy plik.
• Protokół udostępniania plików SMB jest często wyłączony na zaporze zewnętrznej. Ogranicza to możliwe kierunki ataku przy wykorzystaniu tej luki.
• Osoba atakująca, której uda się wykorzystać tę lukę, może uzyskać takie same uprawnienia, jak zalogowany użytkownik. Użytkownicy, których konta zostały skonfigurowane w taki sposób, że mają niewielkie uprawnienia w systemie, ponoszą mniejsze ryzyko niż ci, którzy pracują z uprawnieniami administracyjnymi.

Obejście oznacza wprowadzenie zmiany ustawienia lub konfiguracji, która nie powoduje wyeliminowania samej luki, lecz może pomóc w zablokowaniu znanych kierunków ataku przed zastosowaniem aktualizacji Firma Microsoft przetestowała następujące obejścia i przedstawią swoją opinię w kwestii ograniczania przez nie funkcjonalności:

• Wyłączenie usługi WebClient

  Wyłączenie usługi WebClient pomaga chronić zagrożone systemy przed próbami wykorzystania omawianej luki poprzez zablokowanie najbardziej prawdopodobnego kierunku zdalnego ataku za pośrednictwem usługi klienta WebDAV (Web Distributed Authoring and Versioning). Po zastosowaniu niniejszego obejścia osoby atakujące zdalnie nadal będą mogły sprawić, by w przypadku udanego wykorzystania omawianej luki w systemie zostały uruchomione programy zlokalizowane na komputerze atakowanego użytkownika lub w sieci lokalnej LAN, ale przed otwarciem programów z Internetu użytkownicy otrzymają monit o potwierdzenie.

  Aby wyłączyć usługę WebClient, należy wykonać następujące czynności:

  1. Kliknij przycisk Start, kliknij polecenie Uruchom, wpisz polecenie Services.msc, a następnie kliknij przycisk Kontynuuj.
  2. Kliknij prawym przyciskiem myszy pozycję WebClient i wybierz polecenie Właściwości.
  3. Zmień typ uruchamiania na Wyłączony. Jeśli usługa jest uruchomiona, kliknij polecenie Zatrzymaj.
  4. Kliknij OK i zamknij aplikację zarządzania.

  Wpływ obejścia. Gdy usługa WebClient jest wyłączona, żądania WebDAV (Distributed Authoring and Versioning) nie są przesyłane. Ponadto usługi bezpośrednio zależne od usługi Web Client nie zostaną uruchomione, a w dzienniku systemu zostanie zarejestrowany komunikat o błędzie. Nie będzie można na przykład uzyskać dostępu do udziałów usługi WebDAV z komputera klienckiego.

  Cofnięcie obejścia.

  Aby ponownie włączyć usługę WebClient, należy wykonać następujące czynności:

  1. Kliknij przycisk Start, kliknij polecenie Uruchom, wpisz polecenie Services.msc, a następnie kliknij przycisk Kontynuuj.
  2. Kliknij prawym przyciskiem myszy pozycję WebClient i wybierz polecenie Właściwości.
  3. Zmień typ uruchamiania na Automatyczny. Jeśli usługa nie jest uruchomiona, kliknij polecenie Uruchom.
  4. Kliknij OK i zamknij aplikację zarządzania.
• Zablokowanie portów TCP 139 i 445 na zaporze

  Te porty są używane do inicjowania połączenia ze składnikiem, którego dotyczy luka. Zablokowanie portów TCP 139 i 445 w zaporze może ułatwić ochronę systemów znajdujących się za zaporą przed atakami z wykorzystaniem tej luki w zabezpieczeniach. W celu zapobieżenia atakom mogącym wykorzystywać inne porty firma Microsoft zaleca blokowanie całego niepożądanego ruchu przychodzącego z Internetu. Więcej informacji na temat portów można znaleźć w artykule TechNet Przypisywanie portów TCP i UDP (j. ang.)

  Wpływ obejścia. Kilka usług systemu Windows korzysta z portów, których dotyczy luka. Blokowanie łączności z tymi portami może uniemożliwić korzystanie z niektórych aplikacji lub usług. Poniżej wymieniono niektóre aplikacje lub usługi, których może dotyczyć ten problem:

  • Aplikacje korzystające z SMB (CIFS)
  • Aplikacje korzystające ze skrzynek mailslot lub nazwanych potoków (RPC over SMB)
  • Serwer (Udostępnianie plików i drukarek)
  • Zasady grupy
  • Logowanie do sieci
  • Rozproszony system plików (DFS)
  • Licencjonowanie serwera terminali
  • Bufor wydruku
  • Przeglądarka komputera
  • Lokalizator zdalnego wywoływania procedur
  • Usługa faksowania
  • Usługa indeksowania
  • Dzienniki wydajności i alerty
  • Program Systems Management Server
  • Usługa rejestrowania licencji

  Cofnięcie obejścia. Odblokowanie portów TCP 139 i 445 na zaporze. Więcej informacji na temat portów znajduje się w artykule Przypisywanie portów TCP i UDP (j. ang.).

• Zarejestrowanie pliku packager.exe z pełną ścieżką

  Ostrzeżenie Nieprawidłowe korzystanie z Edytora rejestru może powodować poważne problemy, wymagające ponownego zainstalowania systemu operacyjnego. Firma Microsoft nie gwarantuje możliwości rozwiązania problemów, wynikających z nieprawidłowego użycia edytora rejestru. Zmian w rejestrze można dokonywać wyłącznie na własne ryzyko.

  Przed przystąpieniem do modyfikacji rejestru zaleca się utworzenie jego kopii zapasowej.

  W celu zarejestrowania pliku package.exe z pełną ścieżką, wykonaj następujące czynności:

  1. Kliknij przycisk Start, kliknij polecenie Uruchom, wpisz polecenie regedit, a następnie kliknij przycisk OK.
  2. Rozwiń gałąź HKEY_CLASSES_ROOT, a następnie rozwiń kolejno pozycje Package, Protocol, StdFileEditing i Server.
  3. Kliknij klucz (Default) i zmień jego wartość na:

     C:\Windows\System32\Packager.exe

     Uwaga Należy podać ścieżkę odpowiednią dla posiadanego systemu.

Jaki zakres obejmuje ta luka? 
Jest to luka umożliwiająca zdalne wykonanie kodu. Osoba atakująca, której uda się wykorzystać tę lukę, może uzyskać pełną kontrolę nad systemem, którego dotyczy luka. Osoba taka mogłaby wówczas instalować programy, przeglądać, zmieniać i usuwać dane oraz tworzyć nowe konta z pełnymi uprawnieniami.

W jaki sposób powstaje luka? 
Luka powstaje w wyniku nieprawidłowej rejestracji i wdrożenia programu Pakowarka obiektów systemu Windows w zagrożonych przez nią wersjach systemu Microsoft Windows.

Co to jest Pakowarka obiektów systemu Windows? 
Pakowarka obiektów systemu Windows to narzędzie służące do tworzenia pakietów, które można wstawić do pliku. Więcej informacji na temat Pakowarki obiektów znajduje się w następującej dokumentacji produktu firmy Microsoft.

Jakie mogą być skutki wykorzystania tej luki przez osobę atakującą? 
Osoba atakująca, której uda się wykorzystać tę lukę, może uruchomić dowolny kod jako użytkownik zalogowany. Osoba taka mogłaby wówczas instalować programy, przeglądać, zmieniać i usuwać dane oraz tworzyć nowe konta z pełnymi uprawnieniami. Jeśli użytkownik jest zalogowany jako administrator, osoba atakująca może uzyskać pełną kontrolę nad systemem podlegającym luce. Użytkownicy, których konta zostały skonfigurowane w taki sposób, że mają niewielkie uprawnienia w systemie, ponoszą mniejsze ryzyko niż ci, którzy pracują z uprawnieniami administracyjnymi.

W jaki sposób osoba atakująca może wykorzystać tę lukę? 
Osoba atakująca za pośrednictwem sieci może umieścić prawidłowy plik z osadzonym spakowanym obiektem oraz specjalnie spreparowany plik wykonywalny w udziale sieciowym, na przykład w lokalizacji UNC lub WebDAV, a następnie przekonać użytkownika do otwarcia tego prawidłowego pliku.

Jakie systemy są szczególnie narażone na skutki tej luki? 
Szczególnie narażone na skutki tej luki są stacje robocze, których użytkownicy mogą być zmuszeni do otwierania plików pochodzących z niezaufanych lokalizacji sieciowych. Zagrożenie serwerów może wystąpić także, jeśli administratorzy zezwolą użytkownikom na logowanie do tych serwerów i uruchamianie programów. Jednak zestawy najlepszych praktyk zdecydowanie to odradzają.

W jaki sposób działa aktualizacja? 
Aktualizacja usuwa lukę, korygując klucz rejestru powiązany z programem Pakowarka obiektów systemu Windows.

Czy luka była powszechnie znana w czasie, gdy opublikowano niniejszy biuletyn? 
Nie. Firma Microsoft otrzymała informacje o tej luce od współpracujących źródeł.

Czy firma Microsoft otrzymała zgłoszenia o wykorzystaniu luki w czasie, gdy opublikowano niniejszy biuletyn? 
Nie. Firma Microsoft przed opublikowaniem niniejszego biuletynu zabezpieczeń nie otrzymała informacji, które wskazywałyby, że luka została publicznie wykorzystana do ataku na systemy klientów.

Tabela informacyjna

Następująca tabela zawiera informacje o aktualizacji zabezpieczeń dla tego oprogramowania. Dodatkowe informacje można znaleźć w tej sekcji, w podsekcji Informacje dotyczące wdrażania.

Uwaga Aktualizacja dla obsługiwanych wersji systemu Windows XP Professional x64 Edition ma też zastosowanie do obsługiwanych wersji systemu Windows Server 2003 x64 Edition.

Tabela informacyjna

Następująca tabela zawiera informacje o aktualizacji zabezpieczeń dla tego oprogramowania. Dodatkowe informacje można znaleźć w tej sekcji, w podsekcji Informacje dotyczące wdrażania.

Uwaga Aktualizacja dla obsługiwanych wersji systemu Windows Server 2003 x64 Edition ma też zastosowanie do obsługiwanych wersji systemu Windows XP Professional x64 Edition.