Biuletyn zabezpieczeń firmy Microsoft MS12-007 - Ważna

Ta aktualizacja zabezpieczeń usuwa jedną lukę w zabezpieczeniach biblioteki AntiXSS (Microsoft Anti-Cross Site Scripting) zgłoszoną przez użytkowników. Luka ta może pozwolić na ujawnienie informacji w przypadku, gdy osoba atakująca przekaże do witryny sieci Web złośliwy skrypt za pomocą funkcji oczyszczania biblioteki AntiXSS. Konsekwencje ujawnienia informacji zależą od ich charakteru. Należy zauważyć, że ta luka nie pozwala osobie atakującej na wykonanie kodu ani bezpośrednie podniesienie poziomu jej praw użytkownika, może jednak zostać wykorzystana do uzyskania informacji przydatnych do dalszego naruszenia integralności zagrożonego systemu. Omawiana luka zagraża tylko witrynom, które korzystają z modułu oczyszczania biblioteki AntiXSS.

Niniejsza aktualizacja zabezpieczeń ma wskaźnik ważności „ważny” dla biblioteki AntiXSS w wersjach 3.x i 4.0. Więcej informacji można znaleźć w podsekcji Programy, których dotyczy problem i programy, których nie dotyczy problem niniejszej sekcji.

Ta aktualizacja eliminuje lukę w zabezpieczeniach poprzez uaktualnienie biblioteki AntiXSS do wersji, która nie jest zagrożona przez lukę. Więcej informacji na temat luki można znaleźć w podsekcji „Często zadawane pytania” w części poświęconej tej luce w następnej sekcji, Informacje o luce w zabezpieczeniach.

Zalecenie. Firma Microsoft zaleca klientom jak najszybsze zastosowanie tej aktualizacji.

Znane problemy. W artykule 2607664 bazy wiedzy Microsoft Knowledge Base udokumentowano znane obecnie problemy, które mogą wystąpić przy instalacji niniejszej aktualizacji zabezpieczeń. Artykuł ten przedstawia również zalecane obejścia tych problemów.

Oprogramowanie wymienione poniżej zostało przetestowane w celu ustalenia, których wersji dotyczy problem.

Programy, których dotyczy problem 

^[1]Ten plik do pobrania uaktualnia bibliotekę AntiXSS (Anti-Cross Site Scripting) firmy Microsoft do nowszej wersji, która nie jest zagrożona przez omawianą lukę.

^[2]To uaktualnienie jest dostępne tylko w witrynie Centrum pobierania Microsoft.. Zapoznaj się z następną sekcją — Często zadawane pytania dotyczące tej aktualizacji zabezpieczeń.

Firma Microsoft dziękuje wymienionym poniżej organizacjom i osobom za współpracę w dziedzinie ochrony klientów:

• Adi Cohen z firmy IBM Rational Application Security, za zgłoszenie luki w zabezpieczeniach związanej z obejściem biblioteki AntiXSS (CVE-2012-0007)

• Klienci mogą uzyskać pomoc techniczną w Biurze Obsługi Klienta Microsoft pod numerem 0 801 802 000 (opłata według stawek Twojego operatora) lub (0-22) 594 19 99 w godzinach od 9:00 do 17:00, od poniedziałku do piątku. Połączenia z działem pomocy technicznej związane z aktualizacjami zabezpieczeń są bezpłatne. Dodatkowe informacje dotyczące możliwości skorzystania z pomocy technicznej można znaleźć w witrynie Pomoc i obsługa techniczna firmy Microsoft.
• Klienci międzynarodowi mogą uzyskać pomoc w lokalnych przedstawicielstwach firmy Microsoft. Pomoc techniczna związana z aktualizacjami zabezpieczeń jest bezpłatna. Informacje o sposobie kontaktowania się z pomocą techniczną firmy Microsoft są dostępne w międzynarodowej witrynie sieci Web pomocy technicznej.

Informacje w bazie wiedzy Microsoft Knowledge Base są dostarczane „tak jak są” bez jakiejkolwiek gwarancji. Firma Microsoft odrzuca wszelkie gwarancje, wyraźne i dorozumiane, w tym gwarancje dotyczące wartości handlowej i przydatności do określonego celu. Firma Microsoft Corporation ani jej dostawcy w żadnym wypadku nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym bezpośrednie, pośrednie, przypadkowe, wynikowe, utratę zysków handlowych lub szkody specjalne, nawet jeżeli firmę Microsoft Corporation lub jej dostawców powiadomiono o możliwości zaistnienia takich szkód. W niektórych stanach wyłączenie lub ograniczenie odpowiedzialności za straty wynikowe lub przypadkowe, a więc i powyższe ograniczenia, nie mają zastosowania.

• Wersja 1.0 (10 stycznia 2012 r.): Opublikowano biuletyn.
• Wersja 2.0 (11 stycznia 2012 r.): Poinformowano, że oryginalny pakiet uaktualnień, AntiXSS Library w wersji 4.2, został zastąpiony przez pakiet AntiXSS Library w wersji 4.2.1. Wszyscy użytkownicy biblioteki AntiXSS będą musieli dokonać uaktualnienia do wersji AntiXSS Library 4.2.1, aby mieć pewność, że są chronieni przed luką w zabezpieczeniach opisaną w niniejszym biuletynie. Więcej informacji można znaleźć w sekcji Często zadawane pytania.
• Wersja 2.1 (16 stycznia 2012 r.): W części „Znane problemy” sekcji „Streszczenie” dodano łącze do artykułu 2607664 bazy wiedzy Microsoft Knowledge Base. Ponadto w sekcji „Często zadawane pytania” wyjaśniono, dlaczego aktualizacja dla pakietu AntiXSS Library w wersji 4.2.1 jest dostępna wyłącznie w witrynie Centrum pobierania Microsoft.