Бюллетень по безопасности (Майкрософт) MS12-066 - Важное
Уязвимость компонента очистки HTML делает возможным несанкционированное получение прав (2741517)
Дата публикации: | Дата обновления:
Версия: 1.3
Общие сведения
Аннотация
Это обновление для системы безопасности устраняет опубликованную уязвимость в Microsoft Office, платформах Microsoft Communications Platforms, программном обеспечении Microsoft Server и Microsoft Office Web Apps. Эта уязвимость делает возможным несанкционированное получение прав, если злоумышленник отправляет пользователю специально созданное содержимое.
Это обновление безопасности имеет уровень "существенный" для поддерживаемых выпусков Microsoft InfoPath 2007, Microsoft InfoPath 2010, Microsoft Communicator 2007 R2, Microsoft Lync 2010, Microsoft Lync 2010 Attendee, Microsoft SharePoint Server 2007, Microsoft SharePoint Server 2010, Microsoft Groove Server 2010, Microsoft SharePoint Windows Services 3.0, Microsoft SharePoint Foundation 2010 и Microsoft Office Web Apps 2010. Дополнительные сведения см. в подразделе Подвержены и не подвержены уязвимости далее в этом разделе.
Данное обновление для системы безопасности устраняет уязвимость, изменяя способ очистки HTML-строк. Дополнительные сведения об уязвимости см. в подразделе "Вопросы и ответы" раздела Информация об уязвимости.
Рекомендация. Пользователи могут настроить автоматическую онлайн-проверку появления обновлений в Центре обновления Майкрософт при помощи Центра обновления Майкрософт. Пользователям, у которых включено автоматическое обновление и настроена проверка в сети наличия обновлений от Центра обновления Майкрософт, дополнительные действия обычно не требуются, так как это обновление для системы безопасности будет загружено и установлено автоматически. Пользователям, у которых не включено автоматическое обновление, необходимо проверить наличие обновлений от Центра обновления Майкрософт и установить это обновление вручную. Дополнительные сведения об особых параметрах конфигурации автоматического обновления в поддерживаемых выпусках Windows XP и Windows Server 2003 см. в статье 294871 базы знаний Майкрософт. Дополнительные сведения о параметрах автоматического обновления в поддерживаемых выпусках Windows Vista, Windows Server 2008, Windows 7 и Windows Server 2008 R2 см. в статье Основные сведения об автоматическом обновлении Windows.
Администраторам корпоративных установок и конечным пользователям, которые планируют установить это обновление для системы безопасности вручную, корпорация Майкрософт рекомендует сделать это при первой возможности, используя программное обеспечение для управления обновлениями или проверив наличие обновлений через службу обновлений Майкрософт.
См. также раздел Руководство и средства по диагностике и развертыванию этого бюллетеня.
Известные проблемы. В статье 2741517 базы знаний Майкрософт описаны известные на данный момент проблемы, с которыми пользователи могут столкнуться при установке этого обновления для системы безопасности. В этой статье также приводятся решения, рекомендованные для устранения этих проблем. Для случаев, когда известные проблемы и методы их решения относятся к определенным выпускам программного обеспечения, предоставляются ссылки на соответствующие статьи.
Подвержены и не подвержены уязвимости
Следующие продукты были проверены на наличие уязвимости в тех или иных версиях и выпусках. Прочие версии или выпуски не подвержены уязвимости, либо жизненные циклы их поддержки истекли. Сведения о жизненных циклах поддержки версий или выпусков используемых программных продуктов см. на веб-странице сроков поддержки продуктов Майкрософт.
Подвержены уязвимости
Microsoft Office
| Программное обеспечение | Максимальное воздействие уязвимости | Общий уровень серьезности | Заменяемые обновления |
|---|---|---|---|
| Microsoft InfoPath 2007 с пакетом обновления 2 (SP2) (KB2687439) Microsoft InfoPath 2007 с пакетом обновления 2 (SP2) (KB2687440) | Несанкционированное получение прав | Существенный | Обновление KB2596666 в MS12-050 заменено обновлением KB2687439 Обновление KB2596786 в бюллетене MS12-050 заменено обновлением KB2687440 |
| Microsoft InfoPath 2007 с пакетом обновления 3 (SP3) (KB2687439) Microsoft InfoPath 2007 с пакетом обновления 3 (SP3) (KB2687440) | Несанкционированное получение прав | Существенный | Обновление KB2596666 в MS12-050 заменено обновлением KB2687439 Обновление KB2596786 в бюллетене MS12-050 заменено обновлением KB2687440 |
| Microsoft InfoPath 2010 с пакетом обновления 1 (SP1) (32-разрядные версии) (KB2687436) Microsoft InfoPath 2010 с пакетом обновления 1 (SP1) (32-разрядные версии) (KB2687417) | Несанкционированное получение прав | Существенный | Обновление KB2553431 в бюллетене MS12-050 заменено обновлением KB2687436 Обновление KB2553322 в бюллетене MS12-050 заменено обновлением KB2687417 |
| Microsoft InfoPath 2010 с пакетом обновления 1 (SP1) (64-разрядные версии) (KB2687436) Microsoft InfoPath 2010 с пакетом обновления 1 (SP1) (64-разрядные версии) (KB2687417) | Несанкционированное получение прав | Существенный | Обновление KB2553431 в бюллетене MS12-050 заменено обновлением KB2687436 Обновление KB2553322 в бюллетене MS12-050 заменено обновлением KB2687417 |
Платформы и программное обеспечение Microsoft Communications
| Программное обеспечение | Максимальное воздействие уязвимости | Общий уровень серьезности | Заменяемые обновления |
|---|---|---|---|
| Microsoft Communicator 2007 R2 (KB2726391) | Раскрытие информации | Существенный | Обновление KB2708980 в MS12-039 заменено обновлением KB2726391 |
| Microsoft Lync 2010 (32-разрядная версия) (KB2726382) | Раскрытие информации | Существенный | Обновление KB2693282 в MS12-039 заменено обновлением KB2726382 |
| Microsoft Lync 2010 (64-разрядная версия) (KB2726382) | Раскрытие информации | Существенный | Обновление KB2693282 в MS12-039 заменено обновлением KB2726382 |
| Microsoft Lync 2010 Attendee (установка на уровне администратора) (KB2726388) Microsoft Lync 2010 Attendee[1] (установка на уровне пользователя) (KB2726384) | Раскрытие информации | Существенный | Обновление KB2696031 в MS12-039 заменено обновлением KB2726388 Обновление KB2693283 в MS12-039 заменено обновлением KB2726384 |
[1]Это обновление можно загрузить только с веб-сайта Центра загрузки Майкрософт.
Серверное программное обеспечение Майкрософт
| Программное обеспечение | Пакет обновления | Максимальное воздействие уязвимости | Общий уровень серьезности | Заменяемые обновления |
|---|---|---|---|---|
| Microsoft SharePoint Server | ||||
| Microsoft SharePoint Server 2007 с пакетом обновления 2 (SP2) (32-разрядные версии) | Microsoft SharePoint Server 2007 с пакетом обновления 2 (SP2) (coreserver) (32-разрядные версии)[1] (KB2687405) | Несанкционированное получение прав | Существенный | Обновление KB2596663 в бюллетене MS12-050 заменено обновлением KB2687405 |
| Microsoft SharePoint Server 2007 с пакетом обновления 3 (SP3) (32-разрядные версии) | Microsoft SharePoint Server 2007 с пакетом обновления 3 (SP2) (coreserver) (32-разрядные версии)[1] (KB2687405) | Несанкционированное получение прав | Существенный | Обновление KB2596663 в бюллетене MS12-050 заменено обновлением KB2687405 |
| Microsoft SharePoint Server 2007 с пакетом обновления 2 (SP2) (64-разрядные версии) | Microsoft SharePoint Server 2007 с пакетом обновления 2 (SP2) (coreserver) (64-разрядные версии)[1] (KB2687405) | Несанкционированное получение прав | Существенный | Обновление KB2596663 в бюллетене MS12-050 заменено обновлением KB2687405 |
| Microsoft SharePoint Server 2007 с пакетом обновления 3 (SP3) (64-разрядные версии) | Microsoft SharePoint Server 2007 с пакетом обновления 3 (SP2) (coreserver) (64-разрядные версии)[1] (KB2687405) | Несанкционированное получение прав | Существенный | Обновление KB2596663 в бюллетене MS12-050 заменено обновлением KB2687405 |
| Microsoft SharePoint Server 2010 с пакетом обновления 1 (SP1) | Microsoft SharePoint Server 2010 с пакетом обновления 1 (SP1) (wosrv) (KB2687435) Microsoft SharePoint Server 2010 с пакетом обновления 1 (SP1) (coreserver) (KB2589280) | Несанкционированное получение прав | Существенный | Обновление KB2553424 в бюллетене MS12-050 заменено обновлением KB2687435 Обновление KB2553194 в бюллетене MS12-050 заменено обновлением KB2589280 |
| Microsoft Groove Server | ||||
| Microsoft Groove Server 2010 с пакетом обновлений 1 (SP1) (KB2687402) | Не применимо | Несанкционированное получение прав | Существенный | Обновление KB2589325 в бюллетене MS12-050 заменено обновлением KB2687402 |
| Службы Windows SharePoint Services и Microsoft SharePoint Foundation | ||||
| Службы Microsoft Windows SharePoint Services 3.0 с пакетом обновления 2 (SP2) (32-разрядные версии) (KB2687356) | Не применимо | Несанкционированное получение прав | Существенный | Обновление KB2596911 в бюллетене MS12-050 заменено обновлением KB2687356 |
| Microsoft Windows SharePoint Services 3.0 с пакетом обновления 3 (SP3) (32-разрядная версия) (KB2687356) | Не применимо | Несанкционированное получение прав | Существенный | Нет |
| Службы Microsoft Windows SharePoint Services 3.0 с пакетом обновления 2 (SP2) (64-разрядные версии) (KB2687356) | Не применимо | Несанкционированное получение прав | Существенный | Обновление KB2596911 в бюллетене MS12-050 заменено обновлением KB2687356 |
| Microsoft Windows SharePoint Services 3.0 с пакетом обновления 3 (SP3) (64-разрядная версия) (KB2687356) | Не применимо | Несанкционированное получение прав | Существенный | Нет |
| Microsoft SharePoint Foundation 2010 с пакетом обновления 1 (SP1) (KB2687434) | Не применимо | Несанкционированное получение прав | Существенный | Обновление KB2553365 в бюллетене MS12-050 заменено обновлением KB2687434 |
[1]Для поддерживаемых выпусков Microsoft SharePoint Server 2007: чтобы обеспечить защиту от уязвимостей, описанных в данном бюллетене, помимо пакета обновления для Microsoft SharePoint 2007 (KB2687405) необходимо также установить обновление безопасности для служб Microsoft Windows SharePoint Services 3.0 (KB2687356).
Microsoft Office Web Apps
| Программное обеспечение | Компонент | Максимальное воздействие уязвимости | Общий уровень серьезности | Заменяемые обновления |
|---|---|---|---|---|
| Microsoft Office Web Apps 2010 с пакетом обновления 1 (SP1) (KB2687401) | Не применимо | Несанкционированное получение прав | Существенный | Обновление KB2598239 в MS12-050 заменено обновлением KB2687401 |
Не подвержены уязвимости
| Пакет Microsoft Office и прочее программное обеспечение |
|---|
| Microsoft Communicator 2005 |
| Microsoft Communicator 2005 Web Access |
| Microsoft Communicator 2007 |
| Microsoft Communicator 2007 Web Access |
| Microsoft Live Communications Server 2007 |
| Microsoft Communications Server 2007 Speech Server |
| Microsoft Communications Server 2007 R2 |
| Microsoft Communicator 2007 R2 Attendant |
| Microsoft Communicator 2007 R2 Group Chat Admin |
| Microsoft Communicator 2007 R2 Group Chat Client |
| Microsoft Live Meeting 2007 Console |
| Microsoft Communicator for Mac 2011 |
| Microsoft Communicator Mobile |
| Microsoft Communicator Phone Edition |
| Microsoft Lync Server 2010 |
| Microsoft Lync 2010 Attendant (32-разрядная версия) |
| Microsoft Lync 2010 Attendant (64-разрядная версия) |
| Microsoft Lync 2010 Group Chat |
| Microsoft Lync Server 2010 Group Chat Software Development Kit |
| Microsoft Lync for Mac 2011 |
| Microsoft Groove 2007 с пакетом обновления 2 (SP2) |
| Microsoft Groove 2007 с пакетом обновления 3 (SP3) |
| Microsoft Groove Server 2007 с пакетом обновлений 2 (SP2) |
| Microsoft Groove Server 2007 с пакетом обновлений 3 (SP3) |
| Microsoft InfoPath 2003 с пакетом обновления 3 (SP3) |
| Microsoft Live Communications Server 2003 |
| Microsoft Live Communications Server 2005 с пакетом обновления 1 (SP1) |
| Microsoft SharePoint Portal Server 2003 с пакетом обновления 3 (SP3) (32-разрядные версии) |
| Microsoft SharePoint Portal Server 2003 с пакетом обновления 3 (SP3) (64-разрядные версии) |
| Microsoft Speech Server 2004 |
| Microsoft Speech Server 2004 R2 |
| Microsoft Windows SharePoint Services 2.0 (32-разрядные выпуски) |
| Microsoft Windows SharePoint Services 2.0 (64-разрядные выпуски) |
| Microsoft SharePoint Workspace 2010 с пакетом обновления 1 (SP1) (32-разрядные выпуски) |
| Microsoft SharePoint Workspace 2010 с пакетом обновления 1 (SP1) (64-разрядные выпуски) |
Часто задаваемые вопросы о данном обновлении безопасности
Сведения об уязвимости
Уровни серьезности и идентификаторы уязвимостей
Уязвимость способа очистки HTML (CVE-2012-2520)
Сведения об обновлении
Руководство и средства по диагностике и развертыванию
Развертывание обновления для системы безопасности
Прочие сведения
Благодарности
Корпорация Майкрософт благодарит за проведенную совместно работу по защите пользователей:
- Дрю Хинца (Drew Hintz) из отдела обеспечения безопасности Google за сообщение об уязвимости способа очистки HTML (CVE-2012-2520)
Программа Microsoft Active Protections Program (MAPP)
Чтобы повысить уровень защиты пользователей, корпорация Майкрософт предоставляет сведения об уязвимостях крупным поставщикам программного обеспечения безопасности перед ежемесячным выпуском обновлений. Эта информация необходима им для усовершенствования программного обеспечения и оборудования для защиты пользователей (антивирусных программ, сетевых систем обнаружения вторжений, а также индивидуальных систем предотвращения вторжений). Сведения о средствах защиты, предоставляемых поставщиками программного обеспечения безопасности, доступны на соответствующих веб-сайтах партнеров, перечисленных в списке партнеров MAPP.
Поддержка
Получение справки и поддержки по данному обновлению для системы безопасности
- Справка по установке обновлений: Поддержка Центра обновления Майкрософт
- Решения безопасности для ИТ-специалистов: Устранение неполадок и поддержка на веб-сайте TechNet
- Защита компьютера с установленной ОС Windows от вирусов и вредоносных программ: Центр решений по антивирусам и безопасности
- Местная поддержка в зависимости от страны: Международная поддержка
Заявление об отказе
Сведения в статьях базы знаний Майкрософт предоставляются без каких-либо гарантий. Корпорация Майкрософт не предоставляет каких-либо гарантий, явных или подразумеваемых, включая любые гарантии товарности или пригодности для использования в определенных целях. Корпорация Майкрософт и ее поставщики ни при каких обстоятельствах не несут ответственности за возможный ущерб, включая косвенный, случайный, прямой, опосредованный и специальный ущерб, а также упущенную выгоду, даже если корпорация Майкрософт или ее поставщики заранее были извещены о возможности такого ущерба. Если действующее законодательство не допускает отказа от ответственности за косвенный или случайный ущерб, то описанные выше ограничения не действуют.
Редакции
- Вер. 1.0 (9 октября 2012 г.): Бюллетень опубликован.
- Вер. 1.1 (10 октября 2012 г.): Исправлены номера KB для Microsoft Lync 2010 Attendee (установка на уровне администратора) и Microsoft Lync 2010 Attendee (установка на уровне пользователя). Это изменение носит исключительно информационный характер. Пользователям, уже выполнившим успешное обновление компьютеров, не требуется выполнять никаких действий.
- Вер. 1.2 (17 октября 2012 г.): Исправлена информация о замене обновлений. Исправлены номера KB для Microsoft Lync 2010 Attendee (установка на уровне администратора) и Microsoft Lync 2010 Attendee (установка на уровне пользователя). Все изменения носят исключительно информационный характер. Пользователям, уже выполнившим успешное обновление компьютеров, не требуется выполнять никаких действий.
- Вер. 1.3 (23 октября 2012 г.): В раздел Подвержены уязвимости добавлены Microsoft Windows SharePoint Services 3.0 с пакетом обновления 3 (SP3) (32-разрядная версия) и Microsoft Windows SharePoint Services 3.0 с пакетом обновления 3 (SP3) (64-разрядная версия). Это обновление касается только изменений в бюллетене. Внесенные изменения не затрагивают логику обнаружения и файлы обновления.