Бюллетень по безопасности
Бюллетень по безопасности Майкрософт MS09-070 — важно
Уязвимости в службы федерации Active Directory (AD FS) могут разрешить удаленное выполнение кода (971726)
Опубликовано: 08 декабря 2009 г. | Обновлено: 09 декабря 2009 г.
Версия: 1.1
Общие сведения
Краткий обзор
Это обновление безопасности разрешает две частные уязвимости в Microsoft Windows. Более серьезные уязвимости могут разрешить удаленное выполнение кода, если злоумышленник отправил специально созданный HTTP-запрос на веб-сервер с поддержкой ADFS. Злоумышленник должен быть пользователем, прошедшим проверку подлинности, чтобы воспользоваться любой из этих уязвимостей.
Это обновление системы безопасности оценивается как важно для затронутых выпусков Windows Server 2003, Windows Server 2003 x64 Edition, Windows Server 2008 и Windows Server 2008 x64 Edition. Дополнительные сведения см. в подразделе " Затронутое и не затронутое программное обеспечение" в этом разделе.
Обновление безопасности устраняет уязвимости, исправляя проверку того, что веб-серверы с поддержкой ADFS применяются к заголовкам запросов, отправленным веб-клиентом. Дополнительные сведения об уязвимостях см. в подразделе часто задаваемых вопросов (часто задаваемых вопросов) для конкретной записи уязвимостей в следующем разделе: сведения об уязвимостях.
Рекомендация. Большинство клиентов включили автоматическое обновление и не потребует никаких действий, так как это обновление безопасности будет загружено и установлено автоматически. Клиенты, которые не включили автоматическое обновление, должны проверка для обновлений и установить это обновление вручную. Сведения о конкретных параметрах конфигурации при автоматическом обновлении см. в статье базы знаний Майкрософт 294871.
Для администраторов и корпоративных установок или конечных пользователей, которые хотят установить это обновление вручную, корпорация Майкрософт рекомендует пользователям применять обновление при первой возможности с помощью программного обеспечения для управления обновлениями или проверка для обновлений с помощью службы центра обновления Майкрософт.
См. также раздел, средства обнаружения и развертывания и рекомендации далее в этом бюллетене.
Известные проблемы.Статья базы знаний Майкрософт 971726 документы о известных проблемах, которые могут возникнуть у клиентов при установке этого обновления безопасности. В этой статье также описаны рекомендуемые решения для этих проблем.
Затронутое и не затронутое программное обеспечение
Следующее программное обеспечение было проверено, чтобы определить, какие версии или выпуски затронуты. Другие версии или выпуски либо прошли жизненный цикл поддержки, либо не затрагиваются. Чтобы определить жизненный цикл поддержки для вашей версии или выпуска программного обеспечения, посетите служба поддержки Майкрософт жизненный цикл.
Затронутого программного обеспечения
| Операционная система | Максимальное влияние на безопасность | Оценка серьезности агрегата | Бюллетени, замененные этим обновлением |
|---|---|---|---|
| Windows Server 2003 с пакетом обновления 2[1] | Удаленное выполнение кода | Внимание | нет |
| Windows Server 2003 x64 Edition с пакетом обновления 2[2] | Удаленное выполнение кода | Внимание | нет |
| Windows Server 2008 для 32-разрядных систем и Windows Server 2008 для 32-разрядных систем с пакетом обновления 2* | Удаленное выполнение кода | Внимание | нет |
| Windows Server 2008 для систем на основе x64 и Windows Server 2008 для систем на основе x64 с пакетом обновления 2 (SP2)* | Удаленное выполнение кода | Внимание | нет |
*Установка основных серверных компонентов не затронута. Уязвимости, устраненные этим обновлением, не влияют на поддерживаемые выпуски Windows Server 2008, как указано, при установке с помощью параметра установки основных серверных компонентов. Дополнительные сведения об этом параметре установки см. в статье MSDN, server Core. Обратите внимание, что параметр установки основных серверных компонентов не применяется к определенным выпускам Windows Server 2008; См. статью "Сравнение параметров установки основных серверных компонентов".
[1]Затронуты только при обновлении с помощью Windows Server 2003 R2, который развертывает службы федерации Active Directory (AD FS).
[2]Затрагивается только при обновлении windows Server 2003 R2 x64 Edition, который развертывает службы федерации Active Directory (AD FS).
Не затронутое программное обеспечение
| Операционная система |
|---|
| Microsoft Windows 2000 с пакетом обновления 4 (SP4) |
| Windows XP с пакетом обновления 2 и Windows XP с пакетом обновления 3 |
| Windows XP Professional x64 Edition с пакетом обновления 2 |
| Windows Server 2003 с пакетом обновления 2 (SP2) для систем на основе Itanium |
| Windows Vista, Windows Vista с пакетом обновления 1 (SP1) и Windows Vista с пакетом обновления 2 (SP2) |
| Windows Vista x64 Edition, Windows Vista x64 Edition с пакетом обновления 1 (SP1) и Windows Vista x64 Edition с пакетом обновления 2 (SP2) |
| Windows Server 2008 для систем на основе Itanium и Windows Server 2008 для систем на основе Itanium с пакетом обновления 2 (SP2) |
| Windows 7 для 32-разрядных систем |
| Windows 7 для систем на основе x64 |
| Windows Server 2008 R2 для систем на основе x64 |
| Windows Server 2008 R2 for Itanium-based Systems |
Часто задаваемые вопросы и ответы, связанные с этим обновлением системы безопасности
Где указаны сведения о файле?
Дополнительные сведения о файле см. в справочных таблицах в разделе "Развертывание обновления безопасности".
Каковы известные проблемы, с которыми могут столкнуться клиенты при установке этого обновления безопасности?
Статья базы знаний Майкрософт 971726 документирует известные проблемы, которые могут возникнуть у клиентов при установке этого обновления безопасности. В этой статье также описаны рекомендуемые решения для этих проблем.
Почему это обновление устраняет несколько обнаруженных уязвимостей безопасности?
Это обновление содержит поддержку нескольких уязвимостей, так как изменения, необходимые для решения этих проблем, находятся в связанных файлах. Вместо установки нескольких обновлений, которые почти одинаковы, клиентам необходимо установить только это обновление.
Что такое службы федерации Active Directory (AD FS)?
службы федерации Active Directory (AD FS) (ADFS) основан на новой архитектуре веб-служб, поддерживаемой в отрасли, которая определена в спецификациях WS-* . ADFS помогает использовать единый вход (SSO) для проверки подлинности пользователей в нескольких связанных веб-приложениях на протяжении одного онлайн-сеанса. ADFS обеспечивает это путем безопасного совместного использования цифровых удостоверений и прав прав на права в пределах безопасности и предприятий.
Как проверить, установлен ли ADFS на моем сервере?
Чтобы убедиться, что ADFS установлен на сервере, нажмите кнопку "Пуск", щелкните панель управления, нажмите кнопку "Добавить и удалить программы", дважды щелкните компоненты Windows и найдите службы федерации в качестве установленного компонента.
Что такое Windows Server 2003 R2?
Windows Server 2003 R2 расширяет операционную систему Windows Server 2003, обеспечивая более эффективный способ управления доступом к локальным и удаленным ресурсам, легко интегрируясь в существующую среду Windows Server 2003. Windows Server 2003 R2 обеспечивает масштабируемую, улучшенную безопасность веб-платформу, удобную взаимодействие с системами UNIX и обеспечивает новые сценарии, включая упрощенное управление серверами филиалов, улучшенное управление удостоверениями и доступом, а также более эффективное управление хранилищем. Windows Server 2003 R2 Datacenter Edition и Windows Server 2003 R2 выпуск Enterprise также обеспечивают динамическое новое лицензирование, позволяющее клиентам получить еще большее значение из виртуализации сервера.
Дополнительные сведения о Windows Server 2003 R2 см. на сайте Windows Server 2003 R2 .
Каковы веб-спецификации WS-* ?
Спецификации архитектуры веб-служб, основанные на отраслевых стандартах, таких как простой протокол доступа к объектам (SOAP); XML; Язык описания веб-службы (WSDL); и универсальное описание, обнаружение и интеграция (UDDI). WS-* предоставляет основу для предоставления полных и совместимых бизнес-решений для расширенного предприятия, включая возможность управления федеративными удостоверениями и безопасностью.
Модель веб-служб основана на идее о том, что корпоративные системы написаны на разных языках с различными моделями программирования, которые выполняются и доступны из различных типов устройств. Веб-службы — это средство создания распределенных систем, которые могут легко и эффективно взаимодействовать друг с другом в Интернете независимо от того, на каком языке они написаны или на какой платформе они работают.
Я использую старый выпуск программного обеспечения, рассмотренного в этом бюллетене по безопасности. Что делать?
Затронутые программы, перечисленные в этом бюллетене, были проверены, чтобы определить, какие выпуски затронуты. Другие выпуски прошли жизненный цикл поддержки. Дополнительные сведения о жизненном цикле продукта см. на веб-сайте служба поддержки Майкрософт жизненного цикла.
Это должно быть приоритетом для клиентов, имеющих старые выпуски программного обеспечения для миграции на поддерживаемые выпуски, чтобы предотвратить потенциальное воздействие уязвимостей. Чтобы определить жизненный цикл поддержки для выпуска программного обеспечения, см. раздел "Выбор продукта для сведений о жизненном цикле". Дополнительные сведения о пакетах обновления для этих выпусков программного обеспечения см. в разделе "Поддерживаемые жизненным циклом пакеты обновления".
Клиенты, которым требуется пользовательская поддержка более старого программного обеспечения, должны обратиться к своему представителю группы учетных записей Майкрософт, менеджеру технической учетной записи или соответствующему представителю партнера Майкрософт для пользовательских вариантов поддержки. Клиенты без альянса, Premier или авторизованного контракта могут связаться со своим местным офисом продаж Майкрософт. Для получения контактных данных посетите веб-сайт Microsoft Worldwide Information , выберите страну в списке контактных данных, а затем нажмите кнопку "Перейти ", чтобы просмотреть список телефонных номеров. При вызове попросите поговорить с местным менеджером по продажам в службу поддержки Premier. Дополнительные сведения см. в разделе "Часто задаваемые вопросы о политике жизненного цикла служба поддержки Майкрософт".
Сведения об уязвимостях
Оценки серьезности и идентификаторы уязвимостей
Следующие оценки серьезности предполагают потенциальное максимальное влияние уязвимости. Сведения о вероятности, в течение 30 дней после выпуска этого бюллетеня по безопасности, о эксплойтации уязвимости в отношении его оценки серьезности и влияния на безопасность, см. в сводке по индексу эксплойтации в декабрьских бюллетенях. Дополнительные сведения см. в разделе "Индекс эксплойтации Майкрософт".
| Затронутого программного обеспечения | Единый вход спуфингов в уязвимости ADFS — CVE-2009-2508 | Удаленное выполнение кода в уязвимости ADFS — CVE-2009-2509 | Оценка серьезности агрегата |
|---|---|---|---|
| Windows Server 2003 с пакетом обновления 2[1] | Средний\ Спуфингов | Важно\ Удаленное выполнение кода | Важно! |
| Windows Server 2003 x64 Edition с пакетом обновления 2[2] | Средний\ Спуфингов | Важно\ Удаленное выполнение кода | Важно! |
| Windows Server 2008 для 32-разрядных систем и Windows Server 2008 для 32-разрядных систем с пакетом обновления 2* | Средний\ Спуфингов | Важно\ Удаленное выполнение кода | Важно! |
| Windows Server 2008 для систем на основе x64 и Windows Server 2008 для систем на основе x64 с пакетом обновления *\2 | Средний\ Спуфингов | Важно\ Удаленное выполнение кода | Важно! |
*Установка основных серверных компонентов не затронута. Уязвимости, устраненные этим обновлением, не влияют на поддерживаемые выпуски Windows Server 2008 при установке с помощью параметра установки основных серверных компонентов. Дополнительные сведения об этом параметре установки см. в статье MSDN, server Core. Обратите внимание, что параметр установки основных серверных компонентов не применяется к определенным выпускам Windows Server 2008; См. статью "Сравнение параметров установки основных серверных компонентов".
[1]Затронуты только при обновлении с помощью Windows Server 2003 R2, который развертывает службы федерации Active Directory (AD FS).
[2]Затрагивается только при обновлении windows Server 2003 R2 x64 Edition, который развертывает службы федерации Active Directory (AD FS).
Единый вход спуфингов в уязвимости ADFS — CVE-2009-2508
Уязвимость спуфингов в службы федерации Active Directory (AD FS) может позволить злоумышленнику олицетворить прошедшего проверку подлинности пользователя, если злоумышленник имеет доступ к рабочей станции и веб-браузеру, недавно используемым целевым пользователем для доступа к веб-сайту, который предлагает единый вход.
Сведения об этой уязвимости в качестве стандартной записи в списке распространенных уязвимостей и уязвимостей см. в разделе CVE-2009-2508.
Устранение факторов для Единый вход спуфингов в уязвимости ADFS — CVE-2009-2508
Устранение рисков ссылается на параметр, общую конфигурацию или общую рекомендацию, существующую в состоянии по умолчанию, которая может снизить серьезность эксплуатации уязвимости. В вашей ситуации могут оказаться полезными следующие факторы устранения рисков:
- Злоумышленник не может выбрать, кого олицетворить. Злоумышленник может олицетворить пользователя, маркер проверки подлинности которого злоумышленник смог получить, например, из интернет-киоска.
- Атака возможна только до истечения времени ожидания сеанса на сервере. По умолчанию сеансы остаются открытыми в течение 600 минут на сервере. Если злоумышленник попытался повторно использовать маркер проверки подлинности жертвы после истечения периода ожидания, атака завершится ошибкой.
- Злоумышленник должен иметь доступ к маркеру проверки подлинности, используемому предыдущим пользователем в этом терминале. В случае сервера с поддержкой HTTPS этот маркер проверки подлинности будет защищен при передаче, и злоумышленник должен иметь доступ к компьютеру жертвы (например, интернет-киоску), чтобы воспользоваться уязвимостью. В интернет-киоске пользователь может войти в веб-приложение единого входа ADFS, а затем выйти из приложения. Затем злоумышленник может использовать этот компьютер для доступа к веб-приложению в качестве предыдущего пользователя, даже если пользователь вышел из системы.
Обходные решения для Единый вход спуфингов в уязвимости ADFS — CVE-2009-2508
Корпорация Майкрософт не определила обходные пути для этой уязвимости.
Часто задаваемые вопросы о Единый вход спуфингов в уязвимости ADFS — CVE-2009-2508
Что такое область уязвимости?
Это уязвимость спуфингов. Злоумышленник, который успешно воспользовался этой уязвимостью, может олицетворить другого пользователя, позволяя злоумышленнику получить доступ к веб-сайту, использующему функцию единого входа службы федерации Active Directory (AD FS) (ADFS).
Что вызывает уязвимость?
Эта уязвимость существует, так как ADFS не имеет достаточной проверки управления сеансами.
Что может сделать злоумышленник?
В системах с общим доступом, таких как интернет-киоски, злоумышленник, который успешно воспользовался этой уязвимостью, может получить доступ к ресурсам, принадлежащим другому, ранее прошедшим проверку подлинности, пользователю. Эта атака может выполняться только в течение времени ожидания сеанса, настроенного администратором ADFS, который по умолчанию настроен на 600 минут.
Как злоумышленник может воспользоваться уязвимостью?
Злоумышленник может воспользоваться этой уязвимостью, используя определенные данные из кэша браузера и повторно используя его для проверки подлинности в веб-приложении, реализующем единый вход ADFS. После ожидания сеанса на сервере ADFS отключит прошедший проверку подлинности сеанс на стороне сервера и больше не позволит злоумышленнику повторно использовать эти учетные данные.
Какие системы в первую очередь подвергаются риску от уязвимости?
Веб-серверы, использующие ADFS для целей единого входа, влияют на эту уязвимость. Эта уязвимость напрямую не влияет на клиентские системы.
Что делает обновление?
Обновление устраняет уязвимость путем правильного отключения учетных данных проверки подлинности карта при выходе пользователя из сети.
Когда был опубликован этот бюллетень по безопасности, была ли эта уязвимость публично раскрыта?
№ Корпорация Майкрософт получила информацию об этой уязвимости путем ответственного раскрытия информации.
Когда был выпущен этот бюллетень по безопасности, корпорация Майкрософт получила какие-либо отчеты об использовании этой уязвимости?
№ Корпорация Майкрософт не получила никакой информации, чтобы указать, что эта уязвимость была публично использована для атак клиентов при первоначальном выпуске этого бюллетеня по безопасности.
Удаленное выполнение кода в уязвимости ADFS — CVE-2009-2509
Уязвимость удаленного выполнения кода существует в реализации службы федерации Active Directory (AD FS) (ADFS). Уязвимость возникает из-за неправильной проверки заголовков запросов, когда прошедший проверку подлинности пользователь подключается к веб-серверу с поддержкой ADFS. Злоумышленник, который успешно воспользовался этой уязвимостью, может полностью контролировать затронутую систему.
Сведения об этой уязвимости в качестве стандартной записи в списке распространенных уязвимостей и уязвимостей см. в разделе CVE-2009-2509.
Устранение факторов для удаленного выполнения кода в уязвимости ADFS — CVE-2009-2509
Устранение рисков ссылается на параметр, общую конфигурацию или общую рекомендацию, существующую в состоянии по умолчанию, которая может снизить серьезность эксплуатации уязвимости. В вашей ситуации могут оказаться полезными следующие факторы устранения рисков:
- Злоумышленник должен иметь действительные учетные данные для входа на уязвимый сервер. Атака может выполняться только после успешной проверки подлинности на сервер, поддерживающий ADFS.
Обходные решения для удаленного выполнения кода в уязвимости ADFS — CVE-2009-2509
Корпорация Майкрософт не определила обходные пути для этой уязвимости.
Часто задаваемые вопросы о удаленном выполнении кода в уязвимости ADFS — CVE-2009-2509
Что такое область уязвимости?
Это уязвимость удаленного выполнения кода. Злоумышленник, который успешно воспользовался этой уязвимостью, может выполнять действия на сервере IIS с теми же правами, что и удостоверение рабочего процесса (WPI), которое по умолчанию настраивается с правами учетной записи сетевой службы.
Что вызывает уязвимость?
Эта уязвимость существует, так как ADFS неправильно проверяет заголовки запросов, отправленные клиентами, прошедшими проверку подлинности.
Что может сделать злоумышленник?
Злоумышленник, который успешно воспользовался этой уязвимостью, может выполнять действия на сервере IIS с теми же правами, что и удостоверение рабочего процесса (WPI). WPI настроен с правами учетной записи сетевой службы по умолчанию. Серверы IIS со страницами ASP, пулы приложений которых настроены с помощью WPI, использующего учетную запись с правами администратора, могут быть более серьезно затронуты, чем серверы IIS, пул приложений которых настроен с параметрами WPI по умолчанию.
Как злоумышленник может воспользоваться уязвимостью?
Злоумышленник может попытаться воспользоваться уязвимостью, отправив специально созданный HTTP-запрос на веб-сервер с поддержкой ADFS. Злоумышленник должен быть пользователем, прошедшим проверку подлинности, чтобы воспользоваться этой уязвимостью.
Какие системы в первую очередь подвергаются риску от уязвимости?
Веб-серверы с поддержкой ADFS подвержены риску. Клиентские системы не влияют на эту уязвимость.
Что делает обновление?
Это обновление исправляет проверку применения веб-серверов с поддержкой ADFS к заголовкам запросов, отправленным веб-клиентом.
Когда был опубликован этот бюллетень по безопасности, была ли эта уязвимость публично раскрыта?
№ Корпорация Майкрософт получила информацию об этой уязвимости путем ответственного раскрытия информации.
Когда был выпущен этот бюллетень по безопасности, корпорация Майкрософт получила какие-либо отчеты об использовании этой уязвимости?
№ Корпорация Майкрософт не получила никакой информации, чтобы указать, что эта уязвимость была публично использована для атак клиентов при первоначальном выпуске этого бюллетеня по безопасности.
Обновление сведений
Средства обнаружения и развертывания и рекомендации
Управление обновлениями программного обеспечения и безопасности, которые необходимо развернуть на серверах, настольных компьютерах и мобильных системах в вашей организации. Дополнительные сведения см. в Центре управления обновлениями TechNet. Веб-сайт Microsoft TechNet Security предоставляет дополнительные сведения о безопасности в продуктах Майкрософт.
Обновления системы безопасности доступны в Центре обновления Майкрософт и Обновл. Windows. Обновления безопасности также доступны в Центре загрузки Майкрософт. Их можно найти проще всего, выполнив поиск ключевое слово "обновление системы безопасности".
Наконец, обновления системы безопасности можно скачать из каталога обновлений Майкрософт. Каталог центра обновления Майкрософт предоставляет доступный для поиска каталог содержимого, доступный через Обновл. Windows и Центр обновления Майкрософт, включая обновления системы безопасности, драйверы и пакеты обновления. Выполнив поиск по номеру бюллетеня системы безопасности (например, MS07-036), вы можете добавить все применимые обновления в корзину (включая различные языки для обновления) и скачать в папку выбранного варианта. Дополнительные сведения о каталоге центра обновления Майкрософт см. в разделе "Вопросы и ответы о каталоге обновлений Майкрософт".
Обратите внимание , что корпорация Майкрософт не поддерживает обновление Office и средство инвентаризации обновлений Office с 1 августа 2009 г. Чтобы продолжить получение последних обновлений для продуктов Microsoft Office, используйте Центр обновления Майкрософт. Дополнительные сведения см. в статье Об обновлении Microsoft Office: часто задаваемые вопросы.
Руководство по обнаружению и развертыванию
Корпорация Майкрософт предоставляет рекомендации по обнаружению и развертыванию обновлений системы безопасности. В этом руководстве содержатся рекомендации и сведения, которые помогут ИТ-специалистам понять, как использовать различные средства для обнаружения и развертывания обновлений безопасности. Дополнительные сведения см. в статье базы знаний Майкрософт 961747.
Microsoft Baseline Security Analyzer
Анализатор безопасности Microsoft Base (МБ SA) позволяет администраторам сканировать локальные и удаленные системы для отсутствия обновлений безопасности, а также распространенных ошибок в настройке безопасности. Дополнительные сведения о МБ SA см. в анализаторе безопасности Microsoft Base Security.
В следующей таблице приведена сводка по обнаружению МБ SA для этого обновления системы безопасности.
| Программное обеспечение. | МБ SA 2.1.1 |
|---|---|
| Windows Server 2003 с пакетом обновления 2 | Да |
| Windows Server 2003 x64 Edition с пакетом обновления 2 | Да |
| Windows Server 2008 для 32-разрядных систем и Windows Server 2008 для 32-разрядных систем с пакетом обновления 2 | Да |
| Windows Server 2008 для систем на основе x64 и Windows Server 2008 для систем на основе x64 с пакетом обновления 2 (SP2) | Да |
Выпущена последняя версия МБ SA: Microsoft Base Security Analyzer 2.1.1. Дополнительные сведения см. в статье Microsoft Base Security Analyzer 2.1.
Службы Windows Server Update Services
С помощью служб Windows Server Update Services (WSUS) администраторы могут развертывать последние критические обновления и обновления системы безопасности для операционных систем Microsoft Windows 2000 и более поздних версий, Office XP и более поздних версий, Exchange Server 2003 и SQL Server 2000. Дополнительные сведения о развертывании этого обновления системы безопасности с помощью служб Центра обновления Windows Server см. на веб-сайте windows Server Update Services.
Сервер управления системами
В следующей таблице приведена сводка по обнаружению и развертыванию SMS для этого обновления системы безопасности.
| Программное обеспечение. | SMS 2.0 | SMS 2003 с SUIT | SMS 2003 с ITMU | Configuration Manager 2007 |
|---|---|---|---|---|
| Windows Server 2003 с пакетом обновления 2 | Да | Да | Да | Да |
| Windows Server 2003 x64 Edition с пакетом обновления 2 | No | No | Да | Да |
| Windows Server 2008 для 32-разрядных систем и Windows Server 2008 для 32-разрядных систем с пакетом обновления 2 | No | No | Да | Да |
| Windows Server 2008 для систем на основе x64 и Windows Server 2008 для систем на основе x64 с пакетом обновления 2 (SP2) | No | No | Да | Да |
Для SMS 2.0 и SMS 2003 средство инвентаризации обновлений безопасности (SUIT) может использоваться SMS для обнаружения обновлений безопасности. См. также скачивание для system Management Server 2.0.
Для SMS 2003 средство инвентаризации SMS 2003 для Microsoft Обновления (ITMU) может использоваться SMS для обнаружения обновлений безопасности, предлагаемых Центром обновления Майкрософт и поддерживаемых службами Центра обновления Windows Server. Дополнительные сведения о SMS 2003 ITMU см. в средстве инвентаризации SMS 2003 для Microsoft Обновления. Дополнительные сведения о средствах сканирования SMS см. в статье SMS 2003 Средства сканирования обновлений программного обеспечения. См. также скачивание для System Management Server 2003.
System Center Configuration Manager 2007 использует WSUS 3.0 для обнаружения обновлений. Дополнительные сведения об управлении обновлениями программного обеспечения Configuration Manager 2007 см . в System Center Configuration Manager 2007.
Дополнительные сведения о SMS см. на веб-сайте SMS.
Дополнительные сведения см. в статье базы знаний Майкрософт 910723: сводный список ежемесячных руководств по обнаружению и развертыванию.
Обновление средства оценки совместимости и набор средств совместимости приложений
Обновления часто записывать в те же файлы и параметры реестра, необходимые для запуска приложений. Это может активировать несовместимость и увеличить время, необходимое для развертывания обновлений системы безопасности. Вы можете упростить тестирование и проверку обновлений Windows для установленных приложений с помощью компонентов средства оценки совместимости обновлений, включенных в набор средств совместимости приложений.
Набор средств совместимости приложений (ACT) содержит необходимые средства и документацию для оценки и устранения проблем совместимости приложений перед развертыванием Microsoft Windows Vista, Обновл. Windows, обновления безопасности Майкрософт или новой версии Windows Internet Обозреватель в вашей среде.
Развертывание обновлений безопасности
Затронутого программного обеспечения
Для получения сведений об определенном обновлении безопасности для затронутого программного обеспечения щелкните соответствующую ссылку:
Windows Server 2003 (все выпуски)
Справочная таблица
В следующей таблице содержатся сведения об обновлении системы безопасности для этого программного обеспечения. Дополнительные сведения см. в подразделе " Сведения о развертывании" в этом разделе.
| Включение в будущие пакеты обновления | Обновление для этой проблемы будет включено в будущий пакет обновления или накопительный пакет обновления |
|---|---|
| Развертывание | |
| Установка без вмешательства пользователя | Для всех поддерживаемых 32-разрядных выпусков Windows Server 2003 R2 с ADFS:\ WindowsServer2003-КБ 971726-x86-enu /quiet |
| Для всех поддерживаемых выпусков windows Server 2003 R2 с ADFS:\ WindowsServer2003.WindowsXP-КБ 971726-x64-enu /quiet | |
| Установка без перезапуска | Для всех поддерживаемых 32-разрядных выпусков Windows Server 2003 R2 с ADFS:\ WindowsServer2003-КБ 971726-x86-enu /norestart |
| Для всех поддерживаемых выпусков windows Server 2003 R2 с ADFS:\ WindowsServer2003.WindowsXP-КБ 971726-x64-enu /norestart | |
| Обновление файла журнала | КБ 971726.log |
| Дополнительные сведения | См. подраздел, средства обнаружения и развертывания и рекомендации |
| Требование перезапуска | |
| Требуется перезагрузка? | Да, после применения этого обновления безопасности необходимо перезапустить систему. |
| HotPatching | Это обновление безопасности не поддерживает HotPatching. Дополнительные сведения о HotPatching см. в статье базы знаний Майкрософт 897341. |
| Сведения об удалении | Использование средства "Добавить или удалить программы" в панель управления или служебной программе Spuninst.exe, расположенной в папке %Windir%$NTUninstall КБ 971726$\Spuninst |
| Сведения о файлах | См. статью базы знаний Майкрософт 971726 |
| Проверка раздела реестра | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Обновления\Windows Server 2003\SP3\КБ 971726\Filelist |
Сведения о развертывании
Установка обновления
При установке этого обновления системы безопасности установщик проверка, чтобы узнать, обновлен ли один или несколько файлов, которые обновляются в вашей системе, ранее были обновлены исправлением Майкрософт.
Если вы ранее установили исправление для обновления одного из этих файлов, установщик копирует RTMQFE, SP1QFE или SP2QFE-файлы в систему. В противном случае установщик копирует файлы RTMGDR, SP1GDR или SP2GDR в систему. Обновления системы безопасности могут содержать не все варианты этих файлов. Дополнительные сведения об этом поведении см. в статье базы знаний Майкрософт 824994.
Дополнительные сведения о установщике см. на веб-сайте Microsoft TechNet.
Дополнительные сведения о терминологии, которая отображается в этом бюллетене, например исправление, см . в статье базы знаний Майкрософт 824684.
Это обновление системы безопасности поддерживает следующие параметры установки.
| Switch | Description |
|---|---|
| /help | Отображает параметры командной строки. |
| Режимы установки | |
| /passive | Режим автоматической установки. Взаимодействие с пользователем не требуется, но отображается состояние установки. Если перезагрузка требуется в конце программы установки, диалоговое окно будет представлено пользователю с предупреждением таймера о том, что компьютер перезагрузится в течение 30 секунд. |
| /quiet | Тихий режим. Это то же самое, что и в автоматическом режиме, но не отображаются сообщения о состоянии или ошибках. |
| Параметры перезагрузки | |
| /norestart | Не перезапускается при завершении установки. |
| /forcerestart | Перезапускает компьютер после установки и принудительно закрывает другие приложения при завершении работы без сохранения открытых файлов. |
| /warnrestart[:x] | Представляет диалоговое окно с предупреждением таймера о том, что компьютер перезагрузится в x секундах. (Значение по умолчанию — 30 секунд.) Предназначено для использования с параметром /quiet или пассивным коммутатором. |
| /promptrestart | Отображает диалоговое окно с запросом локального пользователя разрешить перезапуск. |
| Специальные параметры | |
| /overwriteoem | Перезаписывает OEM-файлы без запроса. |
| /nobackup | Не выполняет резервное копирование файлов, необходимых для удаления. |
| /forceappsclose | Принудительно закрывает другие программы при завершении работы компьютера. |
| /log:path | Разрешает перенаправление файлов журнала установки. |
| /integrate:path | Интегрирует обновление в исходные файлы Windows. Эти файлы находятся по пути, указанному в коммутаторе. |
| /extract[:p ath] | Извлекает файлы без запуска программы установки. |
| /ER | Включает расширенные отчеты об ошибках. |
| /verbose | Включает подробное ведение журнала. Во время установки создает %Windir%\CabBuild.log. Этот журнал содержит сведения о файлах, скопированных. Использование этого параметра может привести к тому, что установка продолжается медленнее. |
Обратите внимание , что эти коммутаторы можно объединить в одну команду. Для обратной совместимости обновление системы безопасности также поддерживает многие параметры установки, которые использует более ранняя версия программы установки. Дополнительные сведения о поддерживаемых параметрах установки см . в статье базы знаний Майкрософт 262841.
Удаление обновления
Это обновление системы безопасности поддерживает следующие параметры установки.
| Switch | Description |
|---|---|
| /help | Отображает параметры командной строки. |
| Режимы установки | |
| /passive | Режим автоматической установки. Взаимодействие с пользователем не требуется, но отображается состояние установки. Если перезагрузка требуется в конце программы установки, диалоговое окно будет представлено пользователю с предупреждением таймера о том, что компьютер перезагрузится в течение 30 секунд. |
| /quiet | Тихий режим. Это то же самое, что и в автоматическом режиме, но не отображаются сообщения о состоянии или ошибках. |
| Параметры перезагрузки | |
| /norestart | Не перезапускается при завершении установки. |
| /forcerestart | Перезапускает компьютер после установки и принудительно закрывает другие приложения при завершении работы без сохранения открытых файлов. |
| /warnrestart[:x] | Представляет диалоговое окно с предупреждением таймера о том, что компьютер перезагрузится в x секундах. (Значение по умолчанию — 30 секунд.) Предназначено для использования с параметром /quiet или пассивным коммутатором. |
| /promptrestart | Отображает диалоговое окно с запросом локального пользователя разрешить перезапуск. |
| Специальные параметры | |
| /forceappsclose | Принудительно закрывает другие программы при завершении работы компьютера. |
| /log:path | Разрешает перенаправление файлов журнала установки. |
Проверка применения обновления
Microsoft Baseline Security Analyzer
Чтобы убедиться, что обновление безопасности применено к затронутой системе, вы можете использовать средство microsoft Base Security Analyzer (МБ SA). Дополнительные сведения см. в разделе " Средства обнаружения и развертывания" и "Рекомендации" в этом бюллетене.
Проверка версии файла
Так как в Microsoft Windows существует несколько выпусков, следующие действия могут отличаться в системе. Если они есть, ознакомьтесь с документацией по продукту, чтобы выполнить эти действия.
- Нажмите кнопку "Пуск" и нажмите кнопку "Поиск".
- В области результатов поиска щелкните "Все файлы и папки" в разделе "Компаньон поиска".
- В поле "Все" или "Часть" введите имя файла из соответствующей таблицы сведений о файле и нажмите кнопку "Поиск".
- В списке файлов щелкните правой кнопкой мыши имя файла из соответствующей таблицы сведений о файле и выберите пункт "Свойства".
Примечание. В зависимости от выпуска операционной системы или программ, установленных в вашей системе, некоторые файлы, перечисленные в таблице сведений о файлах, могут быть не установлены. - На вкладке "Версия" определите версию файла, установленного в системе, сравнив его с версией, которая задокументирована в соответствующей таблице сведений о файле.
Примечание Атрибуты, отличные от версии файла, могут изменяться во время установки. Сравнение других атрибутов файла с сведениями в таблице сведений о файле не является поддерживаемым методом проверки применения обновления. Кроме того, в некоторых случаях файлы могут быть переименованы во время установки. Если сведения о файле или версии отсутствуют, используйте один из других доступных методов для проверки установки обновлений.
Проверка раздела реестра
Кроме того, вы можете проверить файлы, установленные этим обновлением безопасности, проверив разделы реестра, перечисленные в таблице ссылок в этом разделе.
Эти разделы реестра могут содержать полный список установленных файлов. Кроме того, эти разделы реестра могут не создаваться правильно, если администратор или изготовитель оборудования интегрирует или слипирует это обновление безопасности в исходные файлы установки Windows.
Windows Server 2008 (все выпуски)
Справочная таблица
В следующей таблице содержатся сведения об обновлении системы безопасности для этого программного обеспечения. Дополнительные сведения см. в подразделе " Сведения о развертывании" в этом разделе.
| Включение в будущие пакеты обновления | Обновление для этой проблемы будет включено в будущий пакет обновления или накопительный пакет обновления |
|---|---|
| Развертывание | |
| Установка без вмешательства пользователя | Для всех поддерживаемых 32-разрядных выпусков Windows Server 2008 с ADFS:\ Windows6.0-КБ 971726-x86 /quiet |
| Для всех поддерживаемых выпусков на основе x64 Windows Server 2008 с ADFS:\ Windows6.0-КБ 971726-x64 /quiet | |
| Установка без перезапуска | Для всех поддерживаемых 32-разрядных выпусков Windows Server 2008 с ADFS:\ Windows6.0-КБ 971726-x86 /quiet /norestart |
| Для всех поддерживаемых выпусков на основе x64 Windows Server 2008 с ADFS:\ Windows6.0-КБ 971726-x64 /quiet /norestart | |
| Дополнительные сведения | См. подраздел, средства обнаружения и развертывания и рекомендации |
| Требование перезапуска | |
| Требуется перезагрузка? | Да, после применения этого обновления безопасности необходимо перезапустить систему. |
| HotPatching | Неприменимо. |
| Сведения об удалении | WUSA.exe не поддерживает удаление обновлений. Чтобы удалить обновление, установленное WUSA, щелкните панель управления и нажмите кнопку "Безопасность". В разделе Обновл. Windows щелкните "Просмотреть установленные обновления" и выберите из списка обновлений. |
| Сведения о файлах | См. статью базы знаний Майкрософт 971726 |
| Проверка раздела реестра | Обратите внимание , что раздел реестра не существует для проверки наличия этого обновления. |
Сведения о развертывании
Установка обновления
При установке этого обновления безопасности установщик проверка, если один или несколько файлов, обновляемых в системе, были ранее обновлены исправлением Майкрософт.
Дополнительные сведения о терминологии, которая отображается в этом бюллетене, например исправление, см . в статье базы знаний Майкрософт 824684.
Это обновление системы безопасности поддерживает следующие параметры установки.
| Switch | Description |
|---|---|
| /?, /h, /help | Отображает справку по поддерживаемым коммутаторам. |
| /quiet | Подавляет отображение сообщений о состоянии или ошибках. |
| /norestart | При сочетании с /quiet система не будет перезапущена после установки, даже если для завершения установки требуется перезагрузка. |
Дополнительные сведения о установщике wusa.exe см. в статье базы знаний Майкрософт 934307.
Проверка применения обновления
Microsoft Baseline Security Analyzer
Чтобы убедиться, что обновление безопасности применено к затронутой системе, вы можете использовать средство microsoft Base Security Analyzer (МБ SA). Дополнительные сведения см. в разделе " Средства обнаружения и развертывания" и "Рекомендации" в этом бюллетене.
Проверка версии файла
Так как в Microsoft Windows существует несколько выпусков, следующие действия могут отличаться в системе. Если они есть, ознакомьтесь с документацией по продукту, чтобы выполнить эти действия.
- Нажмите кнопку "Пуск", а затем введите имя файла обновления в меню "Пуск поиска".
- Когда файл появится в разделе "Программы", щелкните правой кнопкой мыши имя файла и щелкните "Свойства".
- На вкладке "Общие" сравните размер файла с таблицами сведений о файле, указанными в бюллетене КБ статье.
- Вы также можете щелкнуть вкладку "Сведения" и сравнить сведения, такие как версия файла и дата изменения, с таблицами сведений о файле, указанными в бюллетене КБ статье.
- Наконец, вы также можете щелкнуть вкладку "Предыдущие версии" и сравнить сведения о файлах для предыдущей версии файла с сведениями о файле для новой или обновленной версии файла.
Другие сведения
Программа Microsoft Active Protections (MAPP)
Чтобы повысить защиту безопасности для клиентов, корпорация Майкрософт предоставляет сведения об уязвимостях основным поставщикам программного обеспечения безопасности перед каждым ежемесячным выпуском обновления безопасности. Затем поставщики программного обеспечения безопасности могут использовать эту информацию об уязвимости, чтобы обеспечить обновленную защиту для клиентов с помощью своего программного обеспечения или устройств, таких как антивирусная программа, сетевые системы обнаружения вторжений или системы предотвращения вторжений на основе узлов. Чтобы определить, доступны ли активные защиты от поставщиков программного обеспечения безопасности, посетите веб-сайты активных защиты, предоставляемые партнерами программы, перечисленные в программе Microsoft Active Protections Program (MAPP).
Поддержка
- Клиенты в США и Канаде могут получать техническую поддержку от службы поддержки безопасности или 1-866-PCSAFETY. Плата за вызовы поддержки, связанные с обновлениями безопасности, не взимается. Дополнительные сведения о доступных вариантах поддержки см. в справке и поддержке Майкрософт.
- Международные клиенты могут получать поддержку от своих местных дочерних компаний Майкрософт. Плата за поддержку, связанную с обновлениями безопасности, не взимается. Дополнительные сведения о том, как обратиться в корпорацию Майкрософт за вопросами поддержки, посетите веб-сайт международной поддержки.
Заявление об отказе
Сведения, предоставленные в Базе знаний Майкрософт, предоставляются "как есть" без каких-либо гарантий. Корпорация Майкрософт отказывается от всех гарантий, явных или подразумеваемых, включая гарантии торговых возможностей и соответствия определенной цели. В любом случае корпорация Майкрософт или ее поставщики не несут ответственности за любые убытки, включая прямые, косвенные, случайные, косвенные, косвенные, следовательно, потерю прибыли или специальные убытки, даже если корпорация Майкрософт или ее поставщики были уведомлены о возможности таких повреждений. Некоторые государства не разрешают исключение или ограничение ответственности за последующие или случайные убытки, поэтому не может применяться ограничение.
Редакции
- V1.0 (8 декабря 2009 г.): Бюллетень опубликован.
- Версия 1.1 (9 декабря 2009 г.): исправлены записи SMS 2.0 и SMS 2003 с записями SUIT для Windows Server 2003 x64 Edition с пакетом обновления 2 в таблице SMS. Это только изменение сведений.
Построено в 2014-04-18T13:49:36Z-07:00