Бюллетень по безопасности (Майкрософт) MS12-067 - Важное

Уязвимости в анализе FAST Search Server 2010 для SharePoint делают возможным удаленное выполнение кода (2742321)

Дата публикации: 9 октября 2012 г.

Версия: 1.0

Общие сведения

Аннотация

Это обновление для системы безопасности устраняет опубликованные уязвимости в Microsoft FAST Search Server 2010 для SharePoint. Эти уязвимости делают возможным удаленное выполнение кода в контексте безопасности учетной записи пользователя с маркером ограниченного доступа. Сервер FAST Search Server для SharePoint подвержен этим уязвимостям, только если включен расширенный пакет фильтров. По умолчанию расширенный пакет фильтров отключен.

Это обновление безопасности имеет уровень "существенный" для поддерживаемых выпусков FAST Search Server 2010 для SharePoint. Дополнительные сведения см. в подразделе Подвержены и не подвержены уязвимости далее в этом разделе.

Данное обновление безопасности устраняет эти уязвимости, обновляя уязвимые библиотеки Oracle Outside In до версии, не подверженной уязвимости. Дополнительные сведения об этих уязвимостях см. в подразделе ответов на часто задаваемые вопросы для каждой уязвимости, упомянутой в разделе Сведения об уязвимостях.

Кроме того, это обновление устраняет уязвимости, впервые описанные в выпуске 2737111 советов по безопасности (Microsoft) для уязвимых выпусков Microsoft SharePoint Server 2010.

Рекомендация. Пользователи могут настроить автоматическую онлайн-проверку появления обновлений в Центре обновления Майкрософт при помощи Центра обновления Майкрософт. Пользователям, у которых включено автоматическое обновление и настроена проверка в сети наличия обновлений от Центра обновления Майкрософт, дополнительные действия обычно не требуются, так как это обновление для системы безопасности будет загружено и установлено автоматически. Пользователям, у которых не включено автоматическое обновление, необходимо проверить наличие обновлений от Центра обновления Майкрософт и установить это обновление вручную. Дополнительные сведения об особых параметрах конфигурации автоматического обновления в поддерживаемых выпусках Windows XP и Windows Server 2003 см. в статье 294871 базы знаний Майкрософт. Дополнительные сведения о параметрах автоматического обновления в поддерживаемых выпусках Windows Vista, Windows Server 2008, Windows 7 и Windows Server 2008 R2 см. в статье Основные сведения об автоматическом обновлении Windows.

Администраторам корпоративных установок и конечным пользователям, которые планируют установить это обновление для системы безопасности вручную, корпорация Майкрософт рекомендует сделать это при первой возможности, используя программное обеспечение для управления обновлениями или проверив наличие обновлений через службу обновлений Майкрософт.

См. также раздел Руководство и средства по диагностике и развертыванию этого бюллетеня.

Известные проблемы. Нет

Подвержены и не подвержены уязвимости

Следующие продукты были проверены на наличие уязвимости в тех или иных версиях и выпусках. Прочие версии или выпуски не подвержены уязвимости, либо жизненные циклы их поддержки истекли. Сведения о жизненных циклах поддержки версий или выпусков используемых программных продуктов см. на веб-странице сроков поддержки продуктов Майкрософт.

Серверное программное обеспечение Майкрософт

Программное обеспечение	Компонент	Максимальное воздействие уязвимости	Общий уровень серьезности	Заменяемые обновления
Microsoft FAST Search Server 2010 для SharePoint с пакетом обновления 1 (SP1)	Расширенный пакет фильтров (KB2553402)	Удаленное выполнение кода	Существенный	Нет

Не подвержены уязвимости

Пакет Microsoft Office и прочее программное обеспечение
Microsoft FAST Search Server 2010 для внутренних приложений
Microsoft FAST Search Server 2010 для интернет-бизнеса
Microsoft FAST Search Server 2010 для интернет-сайтов SharePoint
FAST ESP 5.2
FAST ESP 5.3

Часто задаваемые вопросы о данном обновлении безопасности

Что такое FAST Search Server 2010 для SharePoint?
Microsoft FAST Search Server 2010 для SharePoint включает все функции поиска и возможности интеграции SharePoint Server 2010, а также обеспечивает высокую гибкость платформ, масштабируемость и расширенные средства обработки содержимого. FAST Search Server 2010 для SharePoint можно развертывать на нескольких серверах в соответствии с требованиями к избыточности, производительности и емкости. Дополнительные сведения см. в статье FAST Search Server 2010 для SharePoint.

Примечание. FAST Search Server 2010 для SharePoint подвержен данным уязвимостям, только если включен расширенный пакет фильтров. По умолчанию расширенный пакет фильтров отключен.

Как сервер FAST Search Server 2010 для SharePoint связан с Microsoft SharePoint Server 2010?
FAST Search Server 2010 для SharePoint — отдельный продукт, но связанный с Microsoft SharePoint Server 2010. Дополнительные сведения см. в статье Продукты SharePoint 2010.

Если применено временное решение для отключения расширенного пакета фильтров , предложенное в сборнике советов по безопасности Майкрософт 2737111, нужно ли отменить это временное решение, прежде чем применять данное обновление?
Пользователям, реализовавшим временное решение, предложенное в Сборнике советов по безопасности Майкрософт 2737111, чтобы отключить расширенный пакет фильтров, не нужно его отменять, прежде чем применять данное обновление. Однако, чтобы повторно включить расширенный пакет фильтров для SharePoint, пользователям может потребоваться отменить данное временное решение после применения обновления.

Майкрософт рекомендует применить данное обновление ко всем серверам, прежде чем снова включать расширенный пакет фильтров для SharePoint.

В Сборнике советов по безопасности Майкрософт 2737111 описано несколько уязвимостей. Какие из них устраняются данным обновлением?
Уязвимости CVE-2012-1766, CVE-2012-1767, CVE-2012-1768, CVE-2012-1769, CVE-2012-1770, CVE-2012-1771, CVE-2012-1772, CVE-2012-1773, CVE-2012-3106, CVE-2012-3107, CVE-2012-3108, CVE-2012-3109 и CVE-2012-3110, описанные в Сборнике советов по безопасности Майкрософт 2737111, затрагивают FAST Search Server 2010 для SharePoint и устраняются данным обновлением.

Это уязвимости в коде стороннего поставщика, библиотеках Oracle Outside In. Зачем Майкрософт выпускает обновление для системы безопасности?
Корпорация Майкрософт лицензирует специализированные пользовательские реализации библиотек Oracle Outside для продукта, в котором используется данный сторонний код. Корпорация Майкрософт выпускает данное обновление для системы, чтобы защитить от этих уязвимостей всех пользователей, использующих этот сторонний код в FAST Search 2010 для SharePoint.

Где находятся дополнительные сведения о файлах?
Местонахождение дополнительных сведений о файлах см. в справочных таблицах раздела Развертывание обновления для системы безопасности.

Где находятся хэши обновлений системы безопасности?
Хэши SHA1 и SHA2 обновлений для системы безопасности можно использовать для проверки подлинности загруженных пакетов обновлений для системы безопасности. Сведения о хэшах, относящиеся к данному обновлению, см. в статье 2742321 базы знаний Майкрософт.

На моем компьютере установлена более ранняя версия программного обеспечения, описанного в этом бюллетене по безопасности. Что мне нужно сделать?
Продукты, перечисленные в этом бюллетене, проверены на наличие уязвимости в тех или иных версиях. Жизненные циклы поддержки прочих версий программного обеспечения истекли. Дополнительные сведения о жизненном цикле продуктов см. на веб-странице сроков поддержки продуктов Майкрософт.

Пользователям более ранних версий программного обеспечения следует срочно перейти на поддерживаемые версии, чтобы снизить вероятность наличия в системе уязвимостей. Чтобы определить стадии жизненного цикла поддержки для вашего выпуска программного обеспечения, перейдите на веб-страницу Выберите продукт для отображения информации о стадиях жизненного цикла. Дополнительные сведения о пакетах обновления для этих выпусков программного обеспечения см. на веб-странице политики по срокам поддержки продуктов Microsoft.

Для получения сведений о возможных вариантах обслуживания более ранних версий программного обеспечения свяжитесь с представителем группы по работе с заказчиками корпорации Майкрософт, ее техническим менеджером или представителем соответствующей партнерской компании Майкрософт. Пользователи, у которых нет договора типа Alliance, Premier или Authorized, могут обратиться в местное представительство корпорации Майкрософт. Для получения контактной информации посетите веб-сайт Microsoft Worldwide Information, выберите страну в списке "Контактная информация" и нажмите кнопку Go (Перейти), чтобы просмотреть список телефонных номеров. Дозвонившись, попросите связать вас с менеджером по продажам службы поддержки Premier. Дополнительные сведения см. в разделе Часто задаваемые вопросы о политике поддержки продуктов Майкрософт на разных стадиях жизненного цикла.

Сведения об уязвимости

Уровни серьезности и идентификаторы уязвимостей

Уровень серьезности уязвимости и максимальное воздействие на систему безопасности
Подвержены уязвимости	Oracle Outside In содержит множественные уязвимости с возможностью использования - CVE-2012-1766 - CVE-2012-1767 - CVE-2012-1768 - CVE-2012-1769 - CVE-2012-1770 - CVE-2012-1771 - CVE-2012-1772 - CVE-2012-1773 - CVE-2012-3106 - CVE-2012-3107 - CVE-2012-3108 - CVE-2012-3109 - CVE-2012-3110	Общий уровень серьезности
Microsoft SharePoint Server 2010 с пакетом обновления 1 (SP1)	Существенный Удаленное выполнение кода	Существенный

Oracle Outside In содержит множественные уязвимости с возможностью использования

Сведения об обновлении

Руководство и средства по диагностике и развертыванию

В центре безопасности

Управление программным обеспечением и обновлениями для системы безопасности, которые развертываются на серверах, настольных и мобильных компьютерах организации. Дополнительные сведения см. на веб-сайте Центра управления обновлениями TechNet. Дополнительные сведения об обеспечении безопасности в продуктах Майкрософт см. на веб-сайте Microsoft TechNet Security.

Обновления для системы безопасности доступны в Центре обновления Майкрософт и Центре обновления Windows. Обновления для системы безопасности также доступны в Центре загрузки Майкрософт. Самый простой способ найти обновление — выполнить поиск по ключевому слову "security update".

Пользователи пакета Microsoft Office для Mac могут следить за установкой последних версий программного обеспечения Майкрософт при помощи приложения Microsoft AutoUpdate для Mac. Дополнительные сведения об использовании приложения Microsoft AutoUpdate для Mac см. в статье Автоматическая проверка наличия обновлений для программного обеспечения.

Наконец, обновления для системы безопасности можно загрузить из каталога Центра обновления Майкрософт. Он обеспечивает возможность поиска содержимого (в том числе обновлений для системы безопасности, драйверов и пакетов обновления), которое предоставляется через Центр обновления Windows и Центр обновления Майкрософт. При поиске по номеру бюллетеня по безопасности (например, MS12-001) можно добавлять необходимые обновления (в том числе на различных языках) в корзину и загружать их в выбранную папку. Дополнительные сведения см. на веб-сайте каталога Центра обновления Майкрософт в разделе вопросов и ответов.

Руководство по диагностике и развертыванию

Корпорация Майкрософт предоставляет руководство по диагностике и развертыванию обновлений для системы безопасности. В этом руководстве содержатся рекомендации и сведения, позволяющие ИТ-специалистам оптимальнее использовать различные средства для диагностики и развертывания обновлений для системы безопасности. Дополнительные сведения см. в статье 961747 базы знаний Майкрософт.

Анализатор безопасности Microsoft Baseline Security Analyzer

Анализатор безопасности Microsoft Baseline Security Analyzer (MBSA) позволяет администраторам проверять локальные и удаленные системы с целью выявления неустановленных обновлений для системы безопасности и типичных ошибок в конфигурации системы безопасности. Дополнительные сведения см. на веб-странице Microsoft Baseline Security Analyzer.

В следующей таблице приведены сведения об обнаружении данного обновления безопасности с помощью программы MBSA.

Программное обеспечение	Анализатор MBSA
Microsoft FAST Search Server 2010 для SharePoint	Да

Примечание. Пользователям старого программного обеспечения, не поддерживаемого последней версией анализатора MBSA, Центром обновления Майкрософт и службами WSUS: посетите веб-страницу анализатора безопасности Microsoft Baseline Security Analyzer и в разделе "Legacy Product Support" (Поддержка устаревших программных продуктов) прочтите инструкции по настройке комплексного обнаружения обновлений безопасности с помощью старых инструментов.

Службы Windows Server Update Services

Службы Windows Server Update Services (WSUS) позволяют ИТ-администраторам развертывать последние обновления продуктов Майкрософт на компьютерах под управлением операционной системы Windows. Дополнительные сведения о развертывании обновлений для системы безопасности с помощью служб Windows Server Update Services см. в статье TechNet Windows Server Update Services.

Сервер Systems Management Server

В следующей таблице приведены сведения об обнаружении и развертывании данного обновления для системы безопасности с помощью программы SMS.

Программное обеспечение	SMS 2003 со средством ITMU	System Center Configuration Manager
Microsoft FAST Search Server 2010 для SharePoint	Да^[1]	Да^[1]

^[1]Приведенная выше таблица со сведениями об обнаружении основана на односерверных развертываниях Microsoft FAST Search Server 2010 для SharePoint. Средства обнаружения не рассматривают применимость обновления к компьютерам, настроенным в качестве части многосистемных ферм серверов FAST Search.

Примечание. Корпорация Майкрософт прекратила поддержку SMS 2.0 12 апреля 2011 года. Для SMS 2003 корпорация Майкрософт также прекратила поддержку Security Update Inventory Tool (SUIT) 12 апреля 2011 года. Пользователям предлагается обновить систему до System Center Configuration Manager. Для пользователей, продолжающих использовать SMS 2003 пакетом обновления 3, вариантом является также Inventory Tool for Microsoft Updates (ITMU).

Сервер SMS 2003 может использовать средство SMS 2003 Inventory Tool for Microsoft Updates, чтобы обнаруживать обновления для системы безопасности, предлагаемые в Центре обновления Майкрософт и поддерживаемые службами Windows Server Update Services. Дополнительные сведения о SMS 2003 ITMU см. на веб-странице средства SMS 2003 ITMU. Дополнительные сведения о средствах сканирования SMS см. на веб-странице средств сканирования обновлений ПО для сервера SMS 2003. См. также веб-страницу загружаемых компонентов для сервера Systems Management Server 2003.

Диспетчер конфигураций System Center Configuration Manager использует службы WSUS 3.0 для обнаружения обновлений. Дополнительные сведения см. в статье о System Center.

Дополнительные сведения см. в статье 910723 базы знаний Майкрософт. Обзор ежемесячных статей руководства по диагностике и развертыванию.

Примечание. Если для развертывания пакета Office 2003 использовалась точка административной установки, развертывание обновления с помощью SMS-сервера может оказаться невозможным (если точка административной установки была обновлена из исходного основного источника). Дополнительные сведения см. в подразделе Точка административной установки Office данного раздела.

Точка административной установки Office

Если приложение установлено с сервера, администратор должен установить на сервере административное обновление и перенести его на компьютер пользователя.

Если используется поддерживаемая версия Microsoft Office 2003, см. раздел Создание точки административной установки. Дополнительные сведения об изменении источника для клиентского компьютера с обновленной точки административной установки на исходный основной источник Office 2003 или пакет обновления 3 (SP3) см. в статье 902349 базы знаний Майкрософт (на английском языке).

Примечание. Дополнительные сведения о том, как централизованно управлять обновлениями программного обеспечения с обновленного административного образа, см. в статье Распространение обновлений для продуктов Office 2003 (на английском языке).
Описание создания точки сетевой установки для поддерживаемых версий Microsoft Office см. в разделе Создание точки сетевой установки для Microsoft Office.

Примечание. Для централизованного управления обновлениями для системы безопасности используйте службы Windows Server Update Services. Дополнительные сведения о развертывании обновления для системы безопасности для Microsoft Office см. на веб-сайте служб Windows Server Update Services.

Средство оценки совместимости обновлений и набор средств для обеспечения совместимости приложений

Часто обновления записываются в одни те же файлы, а для запуска приложений требуется настроить параметры реестра. Это приводит к возникновению несовместимостей и увеличивает время, затрачиваемое на развертывание обновлений для системы безопасности. Облегчить тестирование и проверку обновлений Windows для установленных приложений можно с помощью компонентов оценки совместимости обновлений, входящих в состав набора средств для обеспечения совместимости приложений.

Набор средств для обеспечения совместимости приложений содержит необходимые средства и документацию для выявления проблем совместимости приложений и уменьшения степени воздействия этих проблем перед развертыванием системы Windows Vista, обновлений из Центра обновления Windows, обновлений с веб-сайта безопасности Майкрософт или новой версии проводника.

Развертывание обновления для системы безопасности

Включение в будущие пакеты обновления	Выпуск пакетов обновления для данной операционной системы больше не планируется. Обновление безопасности для этой проблемы может войти в будущий накопительный пакет обновления.
Развертывание
Установка обновления без участия пользователя	Для Microsoft FAST Search Server 2010 для SharePoint с пакетом обновления 1 (SP1): fsserver2010-kb2553402-fullfile-x64-glb.exe /passive
Установка обновления без перезагрузки компьютера	Для Microsoft FAST Search Server 2010 для SharePoint с пакетом обновления 1 (SP1): fsserver2010-kb2553402-fullfile-x64-glb.exe /norestart
Обновление файла журнала	Не применимо
Дополнительные сведения	Сведения о диагностике и развертывании см. в подразделе Руководство и средства по диагностике и развертыванию.
Необходимость перезагрузки
Требуется перезагрузка?	В некоторых случаях перезагружать компьютер после установки этого обновления не требуется. Однако если требуемые файлы используются другими приложениями, то после установки обновления компьютер необходимо перезагрузить. В этом случае появляется соответствующее сообщение. Чтобы уменьшить вероятность необходимой перезагрузки, перед установкой обновления безопасности остановите все уязвимые службы и закройте все приложения, которые могут использовать уязвимые файлы. Для получения дополнительной информации о причинах необходимости перезагрузки см. статью 887012 базы знаний Майкрософт.
Функция Hotpatching	Не применимо
Сведения об удалении	Установленное обновление для системы безопасности нельзя удалить.
Сведения о файлах	См. статью 2553402 базы знаний Майкрософт
Проверка реестра	Не применимо

Поддерживаемые параметры установки обновления для системы безопасности
Параметр	Описание
/? или /help	Выводит диалоговое окно использования.
/passive	Задает пассивный режим. Вмешательство пользователя не требуется. Он видит основные диалоговые окна выполнения, но ничего не может отменить.
/quiet	Задает скрытый режим или подавляет сообщения об извлечении файлов.
/norestart	Подавляет перезагрузку системы, если ее требует обновление.
/forcerestart	Автоматически перезагружает систему после применения обновления, даже если оно этого не требует.
/extract	Извлечение файлов без выполнения установки. Будет предложено указать целевую папку.
/extract:<path>	Заменяет команду установки, определенную автором. Задает имя и путь к установочному файлу Setup.inf или .exe.
/lang:<идентификатор кода языка>	Предлагает использовать определенный язык, поддерживаемый пакетом обновления.
/log:<log file>	Включает ведение журнала (Vnox и установщиком) во время установки обновления.

Прочие сведения

Благодарности

Корпорация Майкрософт благодарит за проведенную совместно работу по защите пользователей:

Уилла Дормана (Will Dorman) из CERT/CC за совместную работу по устранению множественных уязвимостей Oracle Outside In (CVE-2012-1766, CVE-2012-1767, CVE-2012-1768, CVE-2012-1769, CVE-2012-1770, CVE-2012-1771, CVE-2012-1772, CVE-2012-1773, CVE-2012-3106, CVE-2012-3107, CVE-2012-3108, CVE-2012-3109 и CVE-2012-3110)

Программа Microsoft Active Protections Program (MAPP)

Чтобы повысить уровень защиты пользователей, корпорация Майкрософт предоставляет сведения об уязвимостях крупным поставщикам программного обеспечения безопасности перед ежемесячным выпуском обновлений. Эта информация необходима им для усовершенствования программного обеспечения и оборудования для защиты пользователей (антивирусных программ, сетевых систем обнаружения вторжений, а также индивидуальных систем предотвращения вторжений). Сведения о средствах защиты, предоставляемых поставщиками программного обеспечения безопасности, доступны на соответствующих веб-сайтах партнеров, перечисленных в списке партнеров MAPP.

Поддержка

Получение справки и поддержки по данному обновлению для системы безопасности

Справка по установке обновлений: Поддержка Центра обновления Майкрософт
Решения безопасности для ИТ-специалистов: Устранение неполадок и поддержка на веб-сайте TechNet
Защита компьютера с установленной ОС Windows от вирусов и вредоносных программ: Центр решений по антивирусам и безопасности
Местная поддержка в зависимости от страны: Международная поддержка

Заявление об отказе

Сведения в статьях базы знаний Майкрософт предоставляются без каких-либо гарантий. Корпорация Майкрософт не предоставляет каких-либо гарантий, явных или подразумеваемых, включая любые гарантии товарности или пригодности для использования в определенных целях. Корпорация Майкрософт и ее поставщики ни при каких обстоятельствах не несут ответственности за возможный ущерб, включая косвенный, случайный, прямой, опосредованный и специальный ущерб, а также упущенную выгоду, даже если корпорация Майкрософт или ее поставщики заранее были извещены о возможности такого ущерба. Если действующее законодательство не допускает отказа от ответственности за косвенный или случайный ущерб, то описанные выше ограничения не действуют.

Редакции

Вер. 1.0 (9 октября 2012 г.): Бюллетень опубликован.