Güvenlik Bülteni
Microsoft Güvenlik Bülteni MS12-011 - Önemli
Microsoft SharePoint'teki Güvenlik Açıkları AyrıcalıkLarın Yükseltilmesine İzin Verebilir (2663841)
Yayımlanma Tarihi: 14 Şubat 2012
Sürüm: 1.0
Genel Bilgiler
Yönetici Özeti
Bu güvenlik güncelleştirmesi, Microsoft SharePoint ve Microsoft SharePoint Foundation'da özel olarak bildirilen üç güvenlik açığını giderir. Bu güvenlik açıkları, bir kullanıcı özel olarak hazırlanmış bir URL'ye tıkladıysa ayrıcalıkların yükseltilmesine veya bilgilerin açığa çıkmasına izin verebilir.
Bu güvenlik güncelleştirmesi, Microsoft Office SharePoint Server 2010 ve Microsoft SharePoint Foundation 2010 için Önemli olarak derecelendirilmiştir. Daha fazla bilgi için bu bölümdeki Etkilenen ve Etkilenmeyen Yazılımlar alt bölümüne bakın.
Güvenlik güncelleştirmesi, Microsoft SharePoint'in kullanıcı girişini doğrulama ve temizleme biçimini düzelterek güvenlik açıklarını giderir. Güvenlik açıkları hakkında daha fazla bilgi için, sonraki Güvenlik Açığı Bilgileri bölümünün altındaki belirli bir güvenlik açığı girdisi için Sık Sorulan Sorular (SSS) alt bölümüne bakın.
Öneri. Müşteriler, Microsoft Update hizmetini kullanarak Microsoft Update'ten güncelleştirmeleri çevrimiçi olarak denetlemek için otomatik güncelleştirmeyi yapılandırabilir. Otomatik güncelleştirmeyi etkinleştirmiş ve Microsoft Update güncelleştirmelerini çevrimiçi olarak denetleyecek şekilde yapılandırılmış olan müşterilerin genellikle herhangi bir işlem gerçekleştirmesi gerekmez çünkü bu güvenlik güncelleştirmesi otomatik olarak indirilip yüklenir. Otomatik güncelleştirmeyi etkinleştirmeyen müşterilerin Microsoft Update güncelleştirmelerini denetlemesi ve bu güncelleştirmeyi el ile yüklemesi gerekir. Windows XP ve Windows Server 2003'ün desteklenen sürümlerinde otomatik güncelleştirmedeki belirli yapılandırma seçenekleri hakkında bilgi için 294871 Microsoft Bilgi Bankası makalesine bakın. Windows Vista, Windows Server 2008, Windows 7 ve Windows Server 2008 R2'nin desteklenen sürümlerinde otomatik güncelleştirme hakkında bilgi için bkz . Windows otomatik güncelleştirmesini anlama.
Yöneticiler ve kurumsal yüklemeler veya bu güvenlik güncelleştirmesini el ile yüklemek isteyen son kullanıcılar için Microsoft, müşterilerin güncelleştirme yönetimi yazılımını kullanarak veya Microsoft Update hizmetini kullanarak güncelleştirmeleri denetleyerek güncelleştirmeyi en erken fırsatta uygulamasını önerir.
Ayrıca, bu bültenin devamında yer alan Algılama ve Dağıtım Araçları ve Kılavuzu bölümüne de bakın.
Bilinen Sorunlar.Microsoft Bilgi Bankası makalesi 2663841 , müşterilerin bu güvenlik güncelleştirmesini yüklerken karşılaşabileceği bilinen sorunları belgelemektedir. Makalede ayrıca bu sorunlar için önerilen çözümler belgelenmiştir. Şu anda bilinen sorunlar ve önerilen çözümler yalnızca bu yazılımın belirli sürümleriyle ilgili olduğunda, bu makale diğer makalelerin bağlantılarını sağlar.
Etkilenen ve Etkilenmeyen Yazılımlar
Aşağıdaki yazılımlar hangi sürümlerin veya sürümlerin etkilendiğini belirlemek için test edilmiştir. Diğer sürümler veya sürümler destek yaşam döngüsünü geçmiştir veya etkilenmez. Yazılım sürümünüz veya sürümünüz için destek yaşam döngüsünü belirlemek için Microsoft Desteği Yaşam Döngüsü'ne bakın.
Etkilenen Yazılım
Microsoft Server Yazılımı
| Yazılım | Paketi Güncelleştir | En Yüksek Güvenlik Etkisi | Toplam Önem Derecesi | Bültenler Bu Güncelleştirmeyle Değiştirildi |
|---|---|---|---|---|
| Microsoft SharePoint Server | ||||
| Microsoft SharePoint Server 2010 ve Microsoft SharePoint Server 2010 Service Pack 1 | Microsoft SharePoint Server 2010 ve Microsoft SharePoint Server 2010 Service Pack 1 (moss) (KB2597124) | Elevation of Privilege (Ayrıcalık Yükseltme) | Önemli | KB2597124 ile değiştirilen bülten yok |
| Microsoft SharePoint Foundation | ||||
| Microsoft SharePoint Foundation 2010 ve Microsoft SharePoint Foundation 2010 Service Pack 1 | Microsoft SharePoint Foundation 2010 ve Microsoft SharePoint Foundation 2010 Service Pack 1 (sts) (KB2553413) | Elevation of Privilege (Ayrıcalık Yükseltme) | Önemli | KB2553413 ile değiştirilen bülten yok |
Etkilenmeyen Yazılım
| Office ve Diğer Yazılımlar |
|---|
| Microsoft Office Groove 2007 Service Pack 2 |
| Microsoft SharePoint Workspace 2010 ve Microsoft SharePoint Workspace 2010 Service Pack 1 (32 bit sürümler) |
| Microsoft SharePoint Workspace 2010 ve Microsoft SharePoint Workspace 2010 Service Pack 1 (64 bit sürümler) |
| Microsoft Office SharePoint Portal Server 2003 Service Pack 3 |
| Microsoft Office Forms Server 2007 Service Pack 2 ve Microsoft Office Forms Server 2007 Service Pack 3 (32 bit sürümler) |
| Microsoft Office Forms Server 2007 Service Pack 2 ve Microsoft Office Forms Server 2007 Service Pack 3 (64 bit sürümler) |
| Microsoft Office SharePoint Server 2007 Service Pack 2 ve Microsoft Office SharePoint Server 2007 Service Pack 3 (32 bit sürümler) |
| Microsoft Office SharePoint Server 2007 Service Pack 2 ve Microsoft Office SharePoint Server 2007 Service Pack 3 (64 bit sürümler) |
| Microsoft Office Groove Data Bridge Server 2007 Service Pack 2 ve Microsoft Office Groove Data Bridge Server 2007 Service Pack 3 |
| Microsoft Office Groove Management Server 2007 Service Pack 2 ve Microsoft Office Groove Management Server 2007 Service Pack 3 |
| Microsoft Groove Server 2010 ve Microsoft Groove Server 2010 Service Pack 1 |
| Microsoft Windows SharePoint Services 2.0 |
| Microsoft Windows SharePoint Services 3.0 Service Pack 2 ve Microsoft Windows SharePoint Services 3.0 Service Pack 3 (32 bit sürümler) |
| Microsoft Windows SharePoint Services 3.0 Service Pack 2 ve Microsoft Windows SharePoint Services 3.0 Service Pack 3 (64 bit sürümler) |
Bu Güvenlik Güncelleştirmesi ile İlgili Sık Sorulan Sorular (SSS)
Dosya bilgileri ayrıntıları nerede?
Dosya bilgileri ayrıntılarının konumu için Güvenlik Güncelleştirmesi Dağıtımı bölümündeki başvuru tablolarına bakın.
Bu güncelleştirme neden bildirilen birkaç güvenlik açığını giderir?
Bu sorunları gidermek için gereken değişiklikler ilgili dosyalarda bulunduğundan bu güncelleştirme çeşitli güvenlik açıklarına yönelik destek içerir.
Bu güncelleştirme, işlevlerde güvenlikle ilgili değişiklikler içeriyor mu?
Evet. Bu bültenin Güvenlik Açığı Bilgileri bölümünde listelenen değişikliklere ek olarak, bu güncelleştirme Microsoft SharePoint'in web hizmetleri erişim denetimlerini işlemesini iyileştirmeye yardımcı olacak derinlemesine bir savunma güncelleştirmesi içerir.
Derinlemesine savunma nedir?
Bilgi güvenliğinde, derinlemesine savunma, saldırganların bir ağ veya sistemin güvenliğini tehlikeye atmasını önlemeye yardımcı olmak için birden çok savunma katmanının uygulandığı bir yaklaşımı ifade eder.
Bu güvenlik bülteninde açıklanan yazılımın eski bir sürümünü kullanıyorum. Ne yapmalıyım?
Bu bültende listelenen etkilenen yazılımlar, hangi sürümlerin etkilendiğini belirlemek için test edilmiştir. Diğer sürümler destek yaşam döngüsünü geçmiştir. Ürün yaşam döngüsü hakkında daha fazla bilgi için Microsoft Desteği Yaşam Döngüsü web sitesini ziyaret edin.
Güvenlik açıklarına maruz kalma olasılığını önlemek için yazılımın daha eski sürümlerine sahip olan müşterilerin desteklenen sürümlere geçiş yapması öncelikli olmalıdır. Yazılım sürümünüzün destek yaşam döngüsünü belirlemek için bkz . Yaşam Döngüsü Bilgileri için Ürün Seçme. Bu yazılım sürümlerine yönelik hizmet paketleri hakkında daha fazla bilgi için bkz . Hizmet Paketi Yaşam Döngüsü Destek İlkesi.
Eski yazılımlar için özel desteğe ihtiyaç duyan müşterilerin özel destek seçenekleri için Microsoft hesabı ekip temsilcilerine, Teknik Hesap Yöneticisi'ne veya uygun Microsoft iş ortağı temsilcisine başvurmaları gerekir. Alliance, Premier veya Yetkili Sözleşmesi olmayan müşteriler, yerel Microsoft satış ofislerine başvurabilir. İletişim bilgileri için Microsoft Dünya Çapında Bilgi web sitesini ziyaret edin, Kişi Bilgileri listesinden ülkeyi seçin ve ardından Telefon numaralarının listesini görmek için Git'e tıklayın. Aradığınızda, yerel Premier Destek satış yöneticisiyle konuşmak isteyin. Daha fazla bilgi için bkz. Microsoft Desteği Yaşam Döngüsü İlkesi SSS.
Güvenlik Açığı Bilgileri
Önem Derecesi Ve Güvenlik Açığı Tanımlayıcıları
Aşağıdaki önem derecesi, güvenlik açığının olası en yüksek etkisini varsayar. Bu güvenlik bülteninin yayımlanmasının ardından 30 gün içinde güvenlik açığının önem derecesi ve güvenlik etkisiyle ilgili olarak bu güvenlik açığından yararlanma olasılığıyla ilgili bilgi için şubat bülteni özetindeki Exploitability Dizini'ne bakın. Daha fazla bilgi için bkz . Microsoft Exploitability Index.
| Etkilenen Yazılım | inplview.aspx XSS Güvenlik Açığı - CVE-2012-0017 | themeweb.aspx'de XSS Güvenlik Açığı - CVE-2012-0144 | wizardlist.aspx'de XSS Güvenlik Açığı - CVE-2012-0145 | Toplam Önem Derecesi |
|---|---|---|---|---|
| Microsoft SharePoint Server | ||||
| Microsoft Office SharePoint Server 2010 ve Microsoft Office SharePoint Server 2010 Service Pack 1 | Uygulanamaz | Önemli Ayrıcalık Yükseltmesi | Önemli Ayrıcalık Yükseltmesi | Önemli |
| Microsoft SharePoint Foundation | ||||
| Microsoft SharePoint Foundation 2010 ve Microsoft SharePoint Foundation 2010 Service Pack 1 | Önemli Ayrıcalık Yükseltmesi | Önemli Ayrıcalık Yükseltmesi | Önemli Ayrıcalık Yükseltmesi | Önemli |
inplview.aspx XSS Güvenlik Açığı - CVE-2012-0017
Microsoft SharePoint 2010'da, bir kullanıcı kötü amaçlı JavaScript öğeleri içeren özel olarak hazırlanmış bir URL'ye tıklarsa bilgilerin açığa çıkmasına veya ayrıcalıkların yükseltilmesine neden olabilecek siteler arası betik oluşturma güvenlik açığı bulunmaktadır. Güvenlik açığı nedeniyle, kötü amaçlı JavaScript kullanıcının tarayıcısına geri döndürüldüyse, sonuçta elde edilen sayfa bir saldırganın hedeflenen SharePoint sitesinde kimliği doğrulanmış kullanıcı bağlamında SharePoint komutları vermesine izin verebilir.
Bu güvenlik açığını Ortak Güvenlik Açıkları ve Etkilenmeler listesinde standart bir giriş olarak görüntülemek için bkz . CVE-2012-0017.
inplview.aspx Güvenlik Açığı - CVE-2012-0017'de XSS için Azaltıcı Etkenler
Azaltma, bir güvenlik açığından yararlanmanın önem derecesini azaltabilecek varsayılan bir durumda mevcut olan bir ayarı, yaygın yapılandırmayı veya genel en iyi yöntemi ifade eder. Aşağıdaki hafifletici faktörler sizin durumunuzda yararlı olabilir:
- Internet Explorer 8 ve Internet Explorer 9'daki bir SharePoint sitesine göz atan Internet Explorer 8 ve Internet Explorer 9 kullanıcıları, varsayılan olarak Internet Explorer 8 ve Internet Explorer 9'daki XSS Filtresi bu saldırıyı Internet Bölgesi'nde önlediğinden daha az risk altındadır. Ancak Internet Explorer 8 ve Internet Explorer 9'daki XSS Filtresi, intranet bölgesinde varsayılan olarak etkin değildir.
- Bir saldırgan, kullanıcı özel olarak hazırlanmış bir URL'ye tıkladığında rastgele JavaScript'in çalıştırılmasına neden olabilir, ancak SharePoint Server'ın HttpOnly kimlik doğrulama tanımlama bilgisini işleme şekli nedeniyle oturum açan kullanıcının kimlik doğrulama kimlik bilgilerini çalamaz.
inplview.aspx Güvenlik Açığı - CVE-2012-0017'de XSS için geçici çözümler
Geçici çözüm, temel güvenlik açığını düzeltmeyen ancak güncelleştirmeyi uygulamadan önce bilinen saldırı vektörlerini engellemeye yardımcı olabilecek bir ayar veya yapılandırma değişikliğini ifade eder. Microsoft, geçici çözümün işlevselliği azaltıp azaltmadığı tartışmasında aşağıdaki geçici çözümleri ve durumları test etti:
Yerel intranet güvenlik bölgesinde Internet Explorer 8 ve Internet Explorer 9 XSSfilter'ı etkinleştirme
Yerel intranet güvenlik bölgesinde XSS filtresini etkinleştirmek için ayarlarınızı değiştirerek bu güvenlik açığından yararlanmaya karşı korumaya yardımcı olabilirsiniz. (XSS filtresi İnternet güvenlik bölgesinde varsayılan olarak etkindir.) Bunu yapmak için aşağıdaki adımları uygulayın:
- Internet Explorer 8 veya Internet Explorer 9'da, Araçlar menüsünde Internet Seçenekleri'ne tıklayın.
- Güvenlik sekmesine tıklayın.
- Yerel intranet'e ve ardından Özel Düzey'e tıklayın.
- Ayarlar altında, Betik oluşturma bölümünde, XSS filtresini etkinleştir'in altında Etkinleştir'e ve ardından Tamam'a tıklayın.
- Internet Explorer'a dönmek için iki kez Tamam'a tıklayın.
Geçici çözümün etkisi. Daha önce XSS riskleri olarak işaretlenmeyen iç siteler işaretlenebilir.
Geçici çözümü geri alma.
Bu geçici çözümü geri almak için aşağıdaki adımları uygulayın:
- Internet Explorer 8 veya Internet Explorer 9'da, Araçlar menüsünde Internet Seçenekleri'ne tıklayın.
- Güvenlik sekmesine tıklayın.
- Yerel intranet'e ve ardından Özel Düzey'e tıklayın.
- Ayarlar altında, Betik oluşturma bölümünde, XSS filtresini etkinleştir'in altında Devre Dışı Bırak'a ve ardından Tamam'a tıklayın.
- Internet Explorer'a dönmek için iki kez Tamam'a tıklayın.
inplview.aspx Güvenlik Açığı - CVE-2012-0017'de XSS hakkında SSS
Güvenlik açığının kapsamı nedir?
Bu, ayrıcalıkların yükseltilmesine veya bilgilerin açığa çıkmasına neden olabilecek siteler arası bir betik oluşturma güvenlik açığıdır.
Güvenlik açığının nedeni nedir?
Bu güvenlik açığı, Microsoft SharePoint'in özel olarak hazırlanmış bir URL'nin içinde yer alan kötü amaçlı JavaScript öğelerini düzgün şekilde işlememesi ve betiğin kullanıcının tarayıcısına geri görüntülenmesine izin vermesine neden olur.
Siteler arası betik nedir?
Siteler arası betik oluşturma (XSS), bir saldırganın bir web sitesiyle kullanıcının oturumuna betik kodu eklemesine olanak sağlayan bir güvenlik açığı sınıfıdır. Bu güvenlik açığı, dinamik olarak HTML sayfaları oluşturan web sunucularını etkileyebilir. Bu sunucular tarayıcıya geri gönderdikleri dinamik sayfalara tarayıcı girişi eklerse, bu sunucular dinamik sayfalara kötü amaçlı olarak sağlanan içeriği içerecek şekilde değiştirilebilir. Bu, kötü amaçlı betiğin yürütülmesine izin verebilir. Web tarayıcıları, güvenilir site varsayımları ve sık kullandıkları web sitelerinde kalıcı durumlarını korumak için tanımlama bilgileri kullanmaları yoluyla bu sorunu sürdürebilir. XSS saldırısı web sitesi içeriğini değiştirmez. Bunun yerine, güvenilen bir sunucuyla ilişkili bağlamda tarayıcıda yürütülebilen yeni, kötü amaçlı betik ekler.
Bir saldırgan güvenlik açığını ne yapmak için kullanabilir?
Bu güvenlik açığından başarıyla yararlanan bir saldırgan, saldırganın okuma yetkisi olmayan içeriği okuyabilir, kurban adına SharePoint sitesinde değişiklik izinleri ve silme gibi eylemler yapmak için kurbanın kimliğini kullanabilir ve kurbanın tarayıcısına kötü amaçlı içerik eklenebilir.
Bir saldırgan bu güvenlik açığından nasıl yararlanabilir?
Bu güvenlik açığından yararlanılabilmesi için, kullanıcının kullanıcıyı hedeflenen bir SharePoint sitesine götüren ve ardından betiği kullanıcının tarayıcısına geri görüntüleyen özel hazırlanmış bir URL'ye tıklaması gerekir.
Bir e-posta saldırısı senaryosunda saldırgan, hedeflenen SharePoint sitesinin kullanıcısına özel hazırlanmış URL'yi içeren bir e-posta iletisi göndererek ve kullanıcıyı özel olarak hazırlanmış URL'ye tıklamaya ikna ederek güvenlik açığından yararlanabilir.
Web tabanlı saldırı senaryosunda, saldırganın bu güvenlik açığından yararlanmaya çalışmak için kullanılan hedeflenen SharePoint sitesinin özel olarak hazırlanmış URL'sini içeren bir web sitesi barındırması gerekir. Ayrıca, güvenliği aşılmış web siteleri ve kullanıcı tarafından sağlanan içeriği kabul eden veya barındıran web siteleri, bu güvenlik açığından yararlanabilecek özel hazırlanmış içerik içerebilir. Bir saldırganın kullanıcıları özel olarak hazırlanmış bir web sitesini ziyaret etmeye zorlama yolu yoktur. Bunun yerine, saldırganın genellikle bir e-posta iletisindeki veya Anlık İleti iletisindeki bir bağlantıya tıklayarak, saldırganları saldırganın web sitesine götüren ve sonra da özel olarak hazırlanmış URL'ye tıklamaya ikna ederek web sitesini ziyaret etmeye ikna edilmesi gerekir.
Güvenlik açığından birincil olarak hangi sistemler risk altındadır?
Kullanıcıların iş istasyonları veya terminal sunucuları gibi bir SharePoint sunucusuna bağlandığı sistemler öncelikli olarak risk altındadır.
Güncelleştirme ne yapar?
Güncelleştirme, Microsoft SharePoint'in kullanıcı girişini doğrulama ve temizleme biçimini düzelterek güvenlik açığını giderir.
Bu güvenlik bülteni yayımlandığında bu güvenlik açığı herkese açıklandı mı?
Hayır Microsoft, eşgüdümlü güvenlik açığının açığa çıkması yoluyla bu güvenlik açığı hakkında bilgi aldı.
Bu güvenlik bülteni yayımlandığında, Microsoft bu güvenlik açığından yararlanıldığına dair herhangi bir rapor aldı mı?
Hayır Microsoft, bu güvenlik bülteni ilk yayımlandığında bu güvenlik açığının müşterilere saldırmak için genel olarak kullanıldığını belirten herhangi bir bilgi almamıştı.
themeweb.aspx'de XSS Güvenlik Açığı - CVE-2012-0144
Microsoft SharePoint 2010'da, bir kullanıcı kötü amaçlı JavaScript öğeleri içeren özel olarak hazırlanmış bir URL'ye tıklarsa bilgilerin açığa çıkmasına veya ayrıcalıkların yükseltilmesine neden olabilecek siteler arası betik oluşturma güvenlik açığı bulunmaktadır. Güvenlik açığı nedeniyle, kötü amaçlı JavaScript kullanıcının tarayıcısına geri döndürüldüyse, sonuçta elde edilen sayfa bir saldırganın hedeflenen SharePoint sitesinde kimliği doğrulanmış kullanıcı bağlamında SharePoint komutları vermesine izin verebilir.
Bu güvenlik açığını Ortak Güvenlik Açıkları ve Etkilenmeler listesinde standart bir giriş olarak görüntülemek için bkz . CVE-2012-0144.
themeweb.aspx Güvenlik Açığı - CVE-2012-0144'te XSS için Azaltıcı Etkenler
Azaltma, bir güvenlik açığından yararlanmanın önem derecesini azaltabilecek varsayılan bir durumda mevcut olan bir ayarı, yaygın yapılandırmayı veya genel en iyi yöntemi ifade eder. Aşağıdaki hafifletici faktörler sizin durumunuzda yararlı olabilir:
- Internet Explorer 8 ve Internet Explorer 9'daki bir SharePoint sitesine göz atan Internet Explorer 8 ve Internet Explorer 9 kullanıcıları, varsayılan olarak Internet Explorer 8 ve Internet Explorer 9'daki XSS Filtresi bu saldırıyı Internet Bölgesi'nde önlediğinden daha az risk altındadır. Ancak Internet Explorer 8 ve Internet Explorer 9'daki XSS Filtresi, intranet bölgesinde varsayılan olarak etkin değildir.
- Bir saldırgan, kullanıcı özel olarak hazırlanmış bir URL'ye tıkladığında rastgele JavaScript'in çalıştırılmasına neden olabilir, ancak SharePoint Server'ın HttpOnly kimlik doğrulama tanımlama bilgisini işleme şekli nedeniyle oturum açan kullanıcının kimlik doğrulama kimlik bilgilerini çalamaz.
themeweb.aspx Güvenlik Açığı - CVE-2012-0144'te XSS için geçici çözümler
Geçici çözüm, temel güvenlik açığını düzeltmeyen ancak güncelleştirmeyi uygulamadan önce bilinen saldırı vektörlerini engellemeye yardımcı olabilecek bir ayar veya yapılandırma değişikliğini ifade eder. Microsoft, geçici çözümün işlevselliği azaltıp azaltmadığı tartışmasında aşağıdaki geçici çözümleri ve durumları test etti:
Yerel intranet güvenlik bölgesinde Internet Explorer 8 ve Internet Explorer 9 XSSfilter'ı etkinleştirme
Yerel intranet güvenlik bölgesinde XSS filtresini etkinleştirmek için ayarlarınızı değiştirerek bu güvenlik açığından yararlanmaya karşı korumaya yardımcı olabilirsiniz. (XSS filtresi İnternet güvenlik bölgesinde varsayılan olarak etkindir.) Bunu yapmak için aşağıdaki adımları uygulayın:
- Internet Explorer 8 veya Internet Explorer 9'da, Araçlar menüsünde Internet Seçenekleri'ne tıklayın.
- Güvenlik sekmesine tıklayın.
- Yerel intranet'e ve ardından Özel Düzey'e tıklayın.
- Ayarlar altında, Betik oluşturma bölümünde, XSS filtresini etkinleştir'in altında Etkinleştir'e ve ardından Tamam'a tıklayın.
- Internet Explorer'a dönmek için iki kez Tamam'a tıklayın.
Geçici çözümün etkisi. Daha önce XSS riskleri olarak işaretlenmeyen iç siteler işaretlenebilir.
Geçici çözümü geri alma.
Bu geçici çözümü geri almak için aşağıdaki adımları uygulayın:
- Internet Explorer 8 veya Internet Explorer 9'da, Araçlar menüsünde Internet Seçenekleri'ne tıklayın.
- Güvenlik sekmesine tıklayın.
- Yerel intranet'e ve ardından Özel Düzey'e tıklayın.
- Ayarlar altında, Betik oluşturma bölümünde, XSS filtresini etkinleştir'in altında Devre Dışı Bırak'a ve ardından Tamam'a tıklayın.
- Internet Explorer'a dönmek için iki kez Tamam'a tıklayın.
themeweb.aspx Güvenlik Açığı - CVE-2012-0144'te XSS hakkında SSS
Güvenlik açığının kapsamı nedir?
Bu, ayrıcalıkların yükseltilmesine veya bilgilerin açığa çıkmasına neden olabilecek siteler arası bir betik oluşturma güvenlik açığıdır.
Güvenlik açığının nedeni nedir?
Bu güvenlik açığı, Microsoft SharePoint'in özel olarak hazırlanmış bir URL'nin içinde yer alan kötü amaçlı JavaScript öğelerini düzgün şekilde işlememesi ve betiğin kullanıcının tarayıcısına geri görüntülenmesine izin vermesine neden olur.
Siteler arası betik nedir?
Siteler arası betik oluşturma (XSS), bir saldırganın bir web sitesiyle kullanıcının oturumuna betik kodu eklemesine olanak sağlayan bir güvenlik açığı sınıfıdır. Bu güvenlik açığı, dinamik olarak HTML sayfaları oluşturan web sunucularını etkileyebilir. Bu sunucular tarayıcıya geri gönderdikleri dinamik sayfalara tarayıcı girişi eklerse, bu sunucular dinamik sayfalara kötü amaçlı olarak sağlanan içeriği içerecek şekilde değiştirilebilir. Bu, kötü amaçlı betiğin yürütülmesine izin verebilir. Web tarayıcıları, güvenilir site varsayımları ve sık kullandıkları web sitelerinde kalıcı durumlarını korumak için tanımlama bilgileri kullanmaları yoluyla bu sorunu sürdürebilir. XSS saldırısı web sitesi içeriğini değiştirmez. Bunun yerine, güvenilen bir sunucuyla ilişkili bağlamda tarayıcıda yürütülebilen yeni, kötü amaçlı betik ekler.
Bir saldırgan güvenlik açığını ne yapmak için kullanabilir?
Bu güvenlik açığından başarıyla yararlanan bir saldırgan, saldırganın okuma yetkisi olmayan içeriği okuyabilir, kurban adına SharePoint sitesinde değişiklik izinleri ve silme gibi eylemler yapmak için kurbanın kimliğini kullanabilir ve kurbanın tarayıcısına kötü amaçlı içerik eklenebilir.
Bir saldırgan bu güvenlik açığından nasıl yararlanabilir?
Bu güvenlik açığından yararlanılabilmesi için, kullanıcının kullanıcıyı hedeflenen bir SharePoint sitesine götüren ve ardından betiği kullanıcının tarayıcısına geri görüntüleyen özel hazırlanmış bir URL'ye tıklaması gerekir.
Bir e-posta saldırısı senaryosunda saldırgan, hedeflenen SharePoint sitesinin kullanıcısına özel hazırlanmış URL'yi içeren bir e-posta iletisi göndererek ve kullanıcıyı özel olarak hazırlanmış URL'ye tıklamaya ikna ederek güvenlik açığından yararlanabilir.
Web tabanlı bir saldırı senaryosunda, saldırganın bu güvenlik açığından yararlanmaya çalışmak için kullanılan hedeflenen SharePoint sitesinin özel olarak hazırlanmış URL'sini içeren bir web sitesini barındırması gerekir. Ayrıca, güvenliği aşılmış web siteleri ve kullanıcı tarafından sağlanan içeriği kabul eden veya barındıran web siteleri, bu güvenlik açığından yararlanabilecek özel hazırlanmış içerik içerebilir. Bir saldırganın kullanıcıları özel olarak hazırlanmış bir web sitesini ziyaret etmeye zorlama yolu yoktur. Bunun yerine, saldırganın genellikle bir e-posta iletisindeki veya Anlık İleti iletisindeki bir bağlantıya tıklayarak bu kişiyi saldırganın web sitesine götüren ve ardından özel olarak hazırlanmış URL'ye tıklamaya ikna ederek web sitesini ziyaret etmeye ikna etmek zorunda olması gerekir.
Güvenlik açığından birincil olarak hangi sistemler risk altındadır?
Kullanıcıların iş istasyonları veya terminal sunucuları gibi bir SharePoint sunucusuna bağlandığı sistemler öncelikli olarak risk altındadır.
Güncelleştirme ne yapar?
Güncelleştirme, Microsoft SharePoint'in kullanıcı girişini doğrulama ve temizleme biçimini düzelterek güvenlik açığını giderir.
Bu güvenlik bülteni yayımlandığında bu güvenlik açığı herkese açıklandı mı?
Hayır Microsoft, eşgüdümlü güvenlik açığının açığa çıkması yoluyla bu güvenlik açığı hakkında bilgi aldı.
Bu güvenlik bülteni yayımlandığında, Microsoft bu güvenlik açığından yararlanıldığına dair herhangi bir rapor aldı mı?
Hayır Microsoft, bu güvenlik bülteni ilk yayımlandığında bu güvenlik açığının müşterilere saldırmak için genel olarak kullanıldığını belirten herhangi bir bilgi almamıştı.
wizardlist.aspx'de XSS Güvenlik Açığı - CVE-2012-0145
Microsoft SharePoint 2010'da, bir kullanıcı kötü amaçlı JavaScript öğeleri içeren özel olarak hazırlanmış bir URL'ye tıklarsa bilgilerin açığa çıkmasına veya ayrıcalıkların yükseltilmesine neden olabilecek siteler arası betik oluşturma güvenlik açığı bulunmaktadır. Güvenlik açığı nedeniyle, kötü amaçlı JavaScript kullanıcının tarayıcısına geri döndürüldüyse, sonuçta elde edilen sayfa bir saldırganın hedeflenen SharePoint sitesinde kimliği doğrulanmış kullanıcı bağlamında SharePoint komutları vermesine izin verebilir.
Bu güvenlik açığını Ortak Güvenlik Açıkları ve Etkilenmeler listesinde standart bir giriş olarak görüntülemek için bkz . CVE-2012-0145.
wizardlist.aspx Güvenlik Açığı - CVE-2012-0145'te XSS için Azaltıcı Etkenler
Azaltma, bir güvenlik açığından yararlanmanın önem derecesini azaltabilecek varsayılan bir durumda mevcut olan bir ayarı, yaygın yapılandırmayı veya genel en iyi yöntemi ifade eder. Aşağıdaki hafifletici faktörler sizin durumunuzda yararlı olabilir:
- Internet Explorer 8 ve Internet Explorer 9'daki bir SharePoint sitesine göz atan Internet Explorer 8 ve Internet Explorer 9 kullanıcıları, varsayılan olarak Internet Explorer 8 ve Internet Explorer 9'daki XSS Filtresi bu saldırıyı Internet Bölgesi'nde önlediğinden daha az risk altındadır. Ancak Internet Explorer 8 ve Internet Explorer 9'daki XSS Filtresi, intranet bölgesinde varsayılan olarak etkin değildir.
- Bir saldırgan, kullanıcı özel olarak hazırlanmış bir URL'ye tıkladığında rastgele JavaScript'in çalıştırılmasına neden olabilir, ancak SharePoint Server'ın HttpOnly kimlik doğrulama tanımlama bilgisini işleme şekli nedeniyle oturum açan kullanıcının kimlik doğrulama kimlik bilgilerini çalamaz.
wizardlist.aspx Güvenlik Açığı - CVE-2012-0145'te XSS için geçici çözümler
Geçici çözüm, temel güvenlik açığını düzeltmeyen ancak güncelleştirmeyi uygulamadan önce bilinen saldırı vektörlerini engellemeye yardımcı olabilecek bir ayar veya yapılandırma değişikliğini ifade eder. Microsoft, geçici çözümün işlevselliği azaltıp azaltmadığı tartışmasında aşağıdaki geçici çözümleri ve durumları test etti:
Yerel intranet güvenlik bölgesinde Internet Explorer 8 ve Internet Explorer 9 XSSfilter'ı etkinleştirme
Yerel intranet güvenlik bölgesinde XSS filtresini etkinleştirmek için ayarlarınızı değiştirerek bu güvenlik açığından yararlanmaya karşı korumaya yardımcı olabilirsiniz. (XSS filtresi İnternet güvenlik bölgesinde varsayılan olarak etkindir.) Bunu yapmak için aşağıdaki adımları uygulayın:
- Internet Explorer 8 veya Internet Explorer 9'da, Araçlar menüsünde Internet Seçenekleri'ne tıklayın.
- Güvenlik sekmesine tıklayın.
- Yerel intranet'e ve ardından Özel Düzey'e tıklayın.
- Ayarlar altında, Betik oluşturma bölümünde, XSS filtresini etkinleştir'in altında Etkinleştir'e ve ardından Tamam'a tıklayın.
- Internet Explorer'a dönmek için iki kez Tamam'a tıklayın.
Geçici çözümün etkisi. Daha önce XSS riskleri olarak işaretlenmeyen iç siteler işaretlenebilir.
Geçici çözümü geri alma.
Bu geçici çözümü geri almak için aşağıdaki adımları uygulayın:
- Internet Explorer 8 veya Internet Explorer 9'da, Araçlar menüsünde Internet Seçenekleri'ne tıklayın.
- Güvenlik sekmesine tıklayın.
- Yerel intranet'e ve ardından Özel Düzey'e tıklayın.
- Ayarlar altında, Betik oluşturma bölümünde, XSS filtresini etkinleştir'in altında Devre Dışı Bırak'a ve ardından Tamam'a tıklayın.
- Internet Explorer'a dönmek için iki kez Tamam'a tıklayın.
wizardlist.aspx Güvenlik Açığı - CVE-2012-0145'te XSS hakkında SSS
Güvenlik açığının kapsamı nedir?
Bu, ayrıcalıkların yükseltilmesine veya bilgilerin açığa çıkmasına neden olabilecek siteler arası bir betik oluşturma güvenlik açığıdır.
Güvenlik açığının nedeni nedir?
Bu güvenlik açığı, Microsoft SharePoint'in özel olarak hazırlanmış bir URL'nin içinde yer alan kötü amaçlı JavaScript öğelerini düzgün şekilde işlememesi ve betiğin kullanıcının tarayıcısına geri görüntülenmesine izin vermesine neden olur.
Siteler arası betik nedir?
Siteler arası betik oluşturma (XSS), bir saldırganın bir web sitesiyle kullanıcının oturumuna betik kodu eklemesine olanak sağlayan bir güvenlik açığı sınıfıdır. Bu güvenlik açığı, dinamik olarak HTML sayfaları oluşturan web sunucularını etkileyebilir. Bu sunucular tarayıcıya geri gönderdikleri dinamik sayfalara tarayıcı girişi eklerse, bu sunucular dinamik sayfalara kötü amaçlı olarak sağlanan içeriği içerecek şekilde değiştirilebilir. Bu, kötü amaçlı betiğin yürütülmesine izin verebilir. Web tarayıcıları, güvenilir site varsayımları ve sık kullandıkları web sitelerinde kalıcı durumlarını korumak için tanımlama bilgileri kullanmaları yoluyla bu sorunu sürdürebilir. XSS saldırısı web sitesi içeriğini değiştirmez. Bunun yerine, güvenilen bir sunucuyla ilişkili bağlamda tarayıcıda yürütülebilen yeni, kötü amaçlı betik ekler.
Bir saldırgan güvenlik açığını ne yapmak için kullanabilir?
Bu güvenlik açığından başarıyla yararlanan bir saldırgan, saldırganın okuma yetkisi olmayan içeriği okuyabilir, kurban adına SharePoint sitesinde değişiklik izinleri ve silme gibi eylemler yapmak için kurbanın kimliğini kullanabilir ve kurbanın tarayıcısına kötü amaçlı içerik eklenebilir.
Bir saldırgan bu güvenlik açığından nasıl yararlanabilir?
Bu güvenlik açığından yararlanılabilmesi için, kullanıcının kullanıcıyı hedeflenen bir SharePoint sitesine götüren ve ardından betiği kullanıcının tarayıcısına geri görüntüleyen özel hazırlanmış bir URL'ye tıklaması gerekir.
Bir e-posta saldırı senaryosunda saldırgan, hedeflenen SharePoint sitesinin kullanıcısına özel hazırlanmış URL'yi içeren bir e-posta iletisi göndererek ve kullanıcıyı özel olarak hazırlanmış URL'ye tıklamaya ikna ederek bu güvenlik açığından yararlanabilir.
Web tabanlı saldırı senaryosunda, saldırganın bu güvenlik açığından yararlanmaya çalışmak için kullanılan hedeflenen SharePoint sitesinin özel olarak hazırlanmış URL'sini içeren bir Web sitesini barındırması gerekir. Ayrıca, güvenliği aşılmış Web siteleri ve kullanıcı tarafından sağlanan içeriği kabul eden veya barındıran Web siteleri, bu güvenlik açığından yararlanabilecek özel hazırlanmış içerik içerebilir. Bir saldırganın kullanıcıları özel olarak hazırlanmış bir Web sitesini ziyaret etmeye zorlama yolu yoktur. Bunun yerine, saldırganın genellikle bir e-posta iletisindeki veya Anlık İleti iletisindeki bir bağlantıya tıklayarak, saldırganları saldırganın Web sitesine götüren ve ardından özel olarak hazırlanmış URL'ye tıklamaya ikna ederek web sitesini ziyaret etmeye ikna etmek zorunda olması gerekir.
Güvenlik açığından birincil olarak hangi sistemler risk altındadır?
Kullanıcıların iş istasyonları veya terminal sunucuları gibi bir SharePoint sunucusuna bağlandığı sistemler öncelikli olarak risk altındadır.
Güncelleştirme ne yapar?
Güncelleştirme, Microsoft SharePoint'in kullanıcı girişini doğrulama ve temizleme biçimini düzelterek güvenlik açığını giderir.
Bu güvenlik bülteni yayımlandığında bu güvenlik açığı herkese açıklandı mı?
Hayır Microsoft, eşgüdümlü güvenlik açığının açığa çıkması yoluyla bu güvenlik açığı hakkında bilgi aldı.
Bu güvenlik bülteni yayımlandığında, Microsoft bu güvenlik açığından yararlanıldığına dair herhangi bir rapor aldı mı?
Hayır Microsoft, bu güvenlik bülteni ilk yayımlandığında bu güvenlik açığının müşterilere saldırmak için genel olarak kullanıldığını belirten herhangi bir bilgi almamıştı.
Güncelleştirme Bilgileri
Algılama ve Dağıtım Araçları ve Kılavuzu
Güvenlik Merkezi
Kuruluşunuzdaki sunuculara, masaüstüne ve mobil sistemlere dağıtmak için ihtiyacınız olan yazılım ve güvenlik güncelleştirmelerini yönetin. Daha fazla bilgi için bkz . TechNet Güncelleştirme Yönetim Merkezi. Microsoft TechNet Security web sitesi, Microsoft ürünlerindeki güvenlik hakkında ek bilgiler sağlar.
Güvenlik güncelleştirmeleri Microsoft Update ve Windows Update'ten edinilebilir. Güvenlik güncelleştirmeleri Microsoft İndirme Merkezi'nden de sağlanır. "Güvenlik güncelleştirmesi" için anahtar sözcük araması yaparak bunları en kolay şekilde bulabilirsiniz.
Microsoft Office Mac müşterileri için Mac için Microsoft AutoUpdate, Microsoft yazılımınızın güncel kalmasına yardımcı olabilir. Mac için Microsoft AutoUpdate'i kullanma hakkında daha fazla bilgi için bkz . Yazılım güncelleştirmelerini otomatik olarak denetleme.
Son olarak, güvenlik güncelleştirmeleri Microsoft Update Kataloğu'ndan indirilebilir. Microsoft Update Kataloğu, güvenlik güncelleştirmeleri, sürücüler ve hizmet paketleri dahil olmak üzere Windows Update ve Microsoft Update aracılığıyla sunulan aranabilir bir içerik kataloğu sağlar. Güvenlik bülteni numarasını ("MS07-036" gibi) kullanarak arama yaparak, tüm geçerli güncelleştirmeleri sepetinize ekleyebilir (bir güncelleştirme için farklı diller dahil) ve seçtiğiniz klasöre indirebilirsiniz. Microsoft Update Kataloğu hakkında daha fazla bilgi için bkz . Microsoft Update Kataloğu SSS.
Algılama ve Dağıtım Kılavuzu
Microsoft, güvenlik güncelleştirmeleri için algılama ve dağıtım kılavuzu sağlar. Bu kılavuz, BT uzmanlarının güvenlik güncelleştirmelerini algılamak ve dağıtmak için çeşitli araçların nasıl kullanılacağını anlamasına yardımcı olabilecek öneriler ve bilgiler içerir. Daha fazla bilgi için 961747 Microsoft Bilgi Bankası makalesine bakın.
Microsoft Baseline Security Analyzer
Microsoft Baseline Security Analyzer (MBSA), yöneticilerin eksik güvenlik güncelleştirmelerinin yanı sıra yaygın güvenlik yanlış yapılandırmaları için yerel ve uzak sistemleri taramasına olanak tanır. MBSA hakkında daha fazla bilgi için Microsoft Baseline Security Analyzer'ı ziyaret edin.
Aşağıdaki tabloda bu güvenlik güncelleştirmesi için MBSA algılama özeti sağlanmaktadır.
| Yazılım | MBSA |
|---|---|
| Microsoft Office SharePoint Server 2010 ve Microsoft Office SharePoint Server 2010 Service Pack 1 | Yes |
| SharePoint Foundation 2010 ve SharePoint Foundation 2010 Service Pack 1 | Yes |
Not MBSA, Microsoft Update ve Windows Server Update Services'ın en son sürümünde desteklenmeyen eski yazılımları kullanan müşteriler için lütfen Microsoft Baseline Security Analyzer'ı ziyaret edin ve eski araçlarla kapsamlı güvenlik güncelleştirmesi algılaması oluşturma konusunda Eski Ürün Desteği bölümüne başvurun.
Windows Server Update Services
Windows Server Update Services (WSUS), bilgi teknolojisi yöneticilerinin en son Microsoft ürün güncelleştirmelerini Windows işletim sistemini çalıştıran bilgisayarlara dağıtmasına olanak tanır. Windows Server Update Services kullanarak güvenlik güncelleştirmelerini dağıtma hakkında daha fazla bilgi için Windows Server Update Services technet makalesine bakın.
Systems Management Server
Aşağıdaki tabloda bu güvenlik güncelleştirmesi için SMS algılama ve dağıtım özeti sağlanmaktadır.
| Yazılım | ITMU ile SMS 2003 | Configuration Manager 2007 |
|---|---|---|
| Microsoft Office SharePoint Server 2010 ve Microsoft Office SharePoint Server 2010 Service Pack 1 | Evet. Aşağıdaki Microsoft Office SharePoint Server 2010 notunu inceleyin | Evet. Aşağıdaki Microsoft Office SharePoint Server 2010 notunu inceleyin |
| SharePoint Foundation 2010 ve SharePoint Foundation 2010 Service Pack 1 | Yes | Yes |
Not Microsoft, SMS 2.0 desteğini 12 Nisan 2011'de sona erdirdi. MICROSOFT, SMS 2003 için 12 Nisan 2011'de Güvenlik Güncelleştirmesi Envanter Aracı (SUIT) desteğini de sona erdirdi. Müşterilerin System Center Configuration Manager 2007'ye yükseltmeleri tavsiye edilir. SMS 2003 Service Pack 3'te kalan müşteriler için, Microsoft Güncelleştirmeler için Envanter Aracı (ITMU) da bir seçenektir.
SMS 2003 için, Microsoft Güncelleştirmeler için SMS 2003 Envanter Aracı (ITMU), Microsoft Update tarafından sunulan ve Windows Server Update Services tarafından desteklenen güvenlik güncelleştirmelerini algılamak için SMS tarafından kullanılabilir. SMS 2003 ITMU hakkında daha fazla bilgi için bkz. Microsoft Güncelleştirmeler için SMS 2003 Envanter Aracı. SMS tarama araçları hakkında daha fazla bilgi için bkz . SMS 2003 Yazılım Güncelleştirmesi Tarama Araçları. Ayrıca bkz. Systems Management Server 2003 için İndirmeler.
System Center Configuration Manager 2007, güncelleştirmeleri algılamak için WSUS 3.0 kullanır. Configuration Manager 2007 Yazılım Güncelleştirmesi Yönetimi hakkında daha fazla bilgi için System Center Configuration Manager 2007'yi ziyaret edin.
SMS hakkında daha fazla bilgi için SMS web sitesini ziyaret edin.
Daha ayrıntılı bilgi için bkz . Microsoft Bilgi Bankası makalesi 910723: Aylık algılama ve dağıtım kılavuzu makalelerinin özet listesi.
Microsoft Office SharePoint Server 2010 için not Yukarıda açıklanan algılama tablosu tek sunuculu Microsoft Office SharePoint Server 2010 dağıtımlarını temel alır. Algılama araçları, birden çok sistemli bir SharePoint sunucu grubunun parçası olarak yapılandırılan sistemlerde güncelleştirmenin uygulanabilirliğini algılamaz.
Not Office XP veya Office 2003 dağıtmak için Yönetici istrative Yükleme Noktası (AIP) kullandıysanız, AIP'yi özgün temelden güncelleştirdiyseniz güncelleştirmeyi SMS kullanarak dağıtamayabilirsiniz. Daha fazla bilgi için bu bölümdeki Office Yönetici istrative Yükleme Noktası başlığına bakın.
Office Yönetici Istrative Yükleme Noktası
Uygulamanızı bir sunucu konumundan yüklediyseniz, sunucu yöneticisinin sunucu konumunu yönetim güncelleştirmesi ile güncelleştirmesi ve bu güncelleştirmeyi sisteminize dağıtması gerekir.
- Microsoft Office XP'nin desteklenen sürümleri için bkz. Yönetici istrative Yükleme Noktası Oluşturma. İstemci sisteminin kaynağını güncelleştirilmiş bir yönetim yükleme noktasından Office XP özgün temel kaynağına değiştirme hakkında daha fazla bilgi için bkz . Microsoft Bilgi Bankası makalesi 922665.
Not Yazılım güncelleştirmelerini güncelleştirilmiş bir yönetim görüntüsünden merkezi olarak yönetmeyi planlıyorsanız, Düzeltme Eki Uygulanmış Yönetici Istrative Görüntüden Office XP İstemcilerini Güncelleştirme makalesinde daha fazla bilgi bulabilirsiniz. - Microsoft Office 2003'ün desteklenen sürümleri için bkz. Yönetici istrative Yükleme Noktası Oluşturma. İstemci bilgisayarın kaynağını güncelleştirilmiş bir yönetim yükleme noktasından Office 2003 özgün temel kaynağına veya Service Pack 3'e (SP3) değiştirme hakkında daha fazla bilgi için bkz . Microsoft Bilgi Bankası makalesi 902349.
Not Yazılım güncelleştirmelerini güncelleştirilmiş bir yönetim görüntüsünden merkezi olarak yönetmeyi planlıyorsanız, Office 2003 Ürün Güncelleştirmeler Dağıtma makalesinde daha fazla bilgi bulabilirsiniz. - Microsoft Office'in desteklenen sürümleri için bir ağ yükleme noktası oluşturmak için bkz . Microsoft Office için ağ yükleme noktası oluşturma.
Not Güvenlik güncelleştirmelerini merkezi olarak yönetmeyi planlıyorsanız Windows Server Update Services'ı kullanın. Microsoft Office için güvenlik güncelleştirmelerini dağıtma hakkında daha fazla bilgi için Windows Server Update Services web sitesini ziyaret edin.
Güncelleştirme Uyumluluğu Değerlendiricisi ve Uygulama Uyumluluğu Araç Seti
Güncelleştirmeler genellikle uygulamalarınızın çalışması için gereken dosyalara ve kayıt defteri ayarlarına yazar. Bu, uyumsuzlukları tetikleyebilir ve güvenlik güncelleştirmelerini dağıtmak için gereken süreyi artırabilir. Uygulama Uyumluluğu Araç Seti'ne dahil edilen Güncelleştirme Uyumluluğu Değerlendirici bileşenleriyle yüklü uygulamalarda Windows güncelleştirmelerinin test ve doğrulamasını kolaylaştırabilirsiniz.
Uygulama Uyumluluğu Araç Seti (ACT), ortamınızda Microsoft Windows Vista, Windows Update, Microsoft Güvenlik Güncelleştirmesi veya Windows Internet Explorer'ın yeni bir sürümünü dağıtmadan önce uygulama uyumluluk sorunlarını değerlendirmek ve azaltmak için gerekli araçları ve belgeleri içerir.
Güvenlik Güncelleştirmesi Dağıtımı
Etkilenen Yazılım
Etkilenen yazılımınız için belirli bir güvenlik güncelleştirmesi hakkında bilgi için uygun bağlantıya tıklayın:
SharePoint Server 2010 (tüm sürümler)
Başvuru Tablosu
Aşağıdaki tabloda bu yazılımın güvenlik güncelleştirmesi bilgileri yer alır. Bu bölümdeki Dağıtım Bilgileri alt bölümünde ek bilgiler bulabilirsiniz.
| Gelecekteki Hizmet Paketlerine Ekleme | Bu yazılım için planlanan başka hizmet paketi yok. Bu sorunun güncelleştirmesi, gelecekteki bir güncelleştirme paketine eklenebilir. |
|---|---|
| Dağıtım | |
| Kullanıcı müdahalesi olmadan yükleme | Microsoft Office SharePoint Server 2010 ve Microsoft Office SharePoint Server 2010 Service Pack 1:\ moss2010-kb2597124-fullfile-x64-glb.exe /passive için |
| Yeniden başlatmadan yükleme | Microsoft Office SharePoint Server 2010 ve Microsoft Office SharePoint Server 2010 Service Pack 1:\ moss2010-kb2597124-fullfile-x64-glb.exe /norestart için |
| Günlük dosyasını güncelleştirme | Uygulanamaz |
| Daha fazla bilgi | Algılama ve dağıtım için algılama ve dağıtım araçları ve kılavuzu başlıklı önceki bölüme bakın. |
| Yeniden Başlatma Gereksinimi | |
| Yeniden başlatma gerekli mi? | Bazı durumlarda, bu güncelleştirme yeniden başlatma gerektirmez. Gerekli dosyalar kullanılıyorsa, bu güncelleştirme yeniden başlatma gerektirir. Bu davranış oluşursa, yeniden başlatmanızı öneren bir ileti görüntülenir.\ \ Yeniden başlatma gerekmesi olasılığını azaltmaya yardımcı olmak için, etkilenen tüm hizmetleri durdurun ve güvenlik güncelleştirmesini yüklemeden önce etkilenen dosyaları kullanabilecek tüm uygulamaları kapatın. Yeniden başlatmanız istenme nedenleri hakkında daha fazla bilgi için 887012 Microsoft Bilgi Bankası makalesine bakın. |
| Çalışırken düzeltme eki uygulama | Uygulanamaz |
| Kaldırma Bilgileri | Bu güvenlik güncelleştirmesi kaldırılamaz. |
| Dosya Bilgileri | Bkz. Microsoft Bilgi Bankası Makalesi 2597124 |
| Kayıt Defteri Anahtarı Doğrulaması | Uygulanamaz |
Dağıtım Bilgileri
Güncelleştirmeyi Yükleme
Etkilenen ve Etkilenmeyen Yazılımlar bölümündeki uygun indirme bağlantısından güncelleştirmeyi yükleyebilirsiniz. Uygulamanızı bir sunucu konumundan yüklediyseniz, sunucu yöneticisi bunun yerine sunucu konumunu yönetim güncelleştirmesi ile güncelleştirmeli ve bu güncelleştirmeyi sisteminize dağıtmalıdır. Yönetici istrative Yükleme Noktaları hakkında daha fazla bilgi için, Algılama ve dağıtım Araçları ve Rehberlik alt bölümündeki Office Yönetici Istrative Yükleme Noktası bilgilerine bakın.
Bu güvenlik güncelleştirmesi, sistemde Windows Installer 3.1 veya sonraki bir sürümün yüklü olmasını gerektirir.
Windows Installer'ın 3.1 veya sonraki bir sürümünü yüklemek için aşağıdaki Microsoft web sitelerinden birini ziyaret edin:
- Windows Server 2008, Windows Vista, Windows Server 2003 ve Windows XP için Windows Installer 4.5 Yeniden Dağıtılabilir
- Windows Server 2003, Windows XP ve Windows 2000 için Windows Installer 3.1 Yeniden Dağıtılabilir
Bu bültende görünen düzeltme gibi terminoloji hakkında daha fazla bilgi için 824684 Microsoft Bilgi Bankası makalesine bakın.
Bu güvenlik güncelleştirmesi aşağıdaki kurulum anahtarlarını destekler.
| Switch | Açıklama |
|---|---|
| /? veya /help | Kullanım iletişim kutusunu görüntüler. |
| /Pasif | Pasif modu belirtir. Kullanıcı etkileşimi gerektirmez; kullanıcılar temel ilerleme durumu iletişim kutularını görür ancak iptal edemez. |
| /quiet | Dosyalar ayıklanırken sessiz modu belirtir veya istemleri bastırır. |
| /norestart | Güncelleştirme yeniden başlatma gerektiriyorsa sistemin yeniden başlatılmasını engeller. |
| /forcerestart | Güncelleştirmenin yeniden başlatma gerekip gerektirmediğine bakılmaksızın, güncelleştirmeyi uyguladıktan sonra sistemi otomatik olarak yeniden başlatır. |
| /Ayıklamak | Dosyaları yüklemeden ayıklar. Bir hedef klasör istenir. |
| /extract:<path> | Yazar tarafından tanımlanan yükleme komutunu geçersiz kılar. Setup.inf veya .exe dosyasının yolunu ve adını belirtir. |
| /lang:<LCID> | Güncelleştirme paketi bu dili desteklediğinde belirli bir dilin kullanımını zorlar. |
| /log:<log dosyası> | Güncelleştirme yüklemesi sırasında hem Vnox hem de Yükleyici tarafından günlüğe kaydetmeyi etkinleştirir. |
Not Bu anahtarları tek bir komutta birleştirebilirsiniz. Geriye dönük uyumluluk için güvenlik güncelleştirmesi, Kurulum programının önceki sürümünün kullandığı kurulum anahtarlarının birçoğunu da destekler. Desteklenen yükleme anahtarları hakkında daha fazla bilgi için 262841 Microsoft Bilgi Bankası makalesine bakın.
Güncelleştirme Kaldırılıyor
Bu güvenlik güncelleştirmesi kaldırılamaz.
Güncelleştirmenin Uygulandığını Doğrulama
Microsoft Baseline Security Analyzer
Etkilenen bir sisteme güvenlik güncelleştirmesi uygulandığını doğrulamak için Microsoft Baseline Security Analyzer (MBSA) aracını kullanabilirsiniz. Daha fazla bilgi için bu bültenin önceki bölümlerinde yer alan Algılama ve Dağıtım Araçları ve Kılavuzu bölümüne bakın.
Dosya Sürümü Doğrulama
Microsoft Windows'un birkaç sürümü olduğundan, sisteminizde aşağıdaki adımlar farklı olabilir. Varsa, bu adımları tamamlamak için ürün belgelerinize bakın.
- Başlat'a tıklayın ve Arama Başlat'a bir güncelleştirme dosyası adı girin.
- Dosya Programlar altında göründüğünde, dosya adına sağ tıklayın ve Özellikler'e tıklayın.
- Genel sekmesinin altında, dosya boyutunu bülten KB makalesinde sağlanan dosya bilgileri tablolarıyla karşılaştırın.
- Ayrıca Ayrıntılar sekmesine tıklayabilir ve dosya sürümü ve değiştirilme tarihi gibi bilgileri bülten KB makalesinde sağlanan dosya bilgileri tablolarıyla karşılaştırabilirsiniz.
- Son olarak, Önceki Sürümler sekmesine tıklayabilir ve dosyanın önceki sürümünün dosya bilgilerini dosyanın yeni veya güncelleştirilmiş sürümüne ilişkin dosya bilgileriyle karşılaştırabilirsiniz.
Microsoft SharePoint Foundation 2010 (tüm sürümler)
Başvuru Tablosu
Aşağıdaki tabloda bu yazılımın güvenlik güncelleştirmesi bilgileri yer alır. Bu bölümdeki Dağıtım Bilgileri alt bölümünde ek bilgiler bulabilirsiniz.
| Gelecekteki Hizmet Paketlerine Ekleme | Bu yazılım için planlanan başka hizmet paketi yok. Bu sorunun güncelleştirmesi, gelecekteki bir güncelleştirme paketine eklenebilir. |
|---|---|
| Dağıtım | |
| Kullanıcı müdahalesi olmadan yükleme | Microsoft SharePoint Foundation 2010 ve Microsoft SharePoint Foundation 2010 Service Pack 1:\ sts2010-kb2553413-fullfile-x64-glb.exe /passive için |
| Yeniden başlatmadan yükleme | Microsoft SharePoint Foundation 2010 ve Microsoft SharePoint Foundation 2010 Service Pack 1:\ sts2010-kb2553413-fullfile-x64-glb.exe /norestart için |
| Günlük dosyasını güncelleştirme | Uygulanamaz |
| Daha fazla bilgi | Algılama ve dağıtım için algılama ve dağıtım araçları ve kılavuzu başlıklı önceki bölüme bakın. |
| Yeniden Başlatma Gereksinimi | |
| Yeniden başlatma gerekli mi? | Bazı durumlarda, bu güncelleştirme yeniden başlatma gerektirmez. Gerekli dosyalar kullanılıyorsa, bu güncelleştirme yeniden başlatma gerektirir. Bu davranış oluşursa, yeniden başlatmanızı öneren bir ileti görüntülenir.\ \ Yeniden başlatma gerekmesi olasılığını azaltmaya yardımcı olmak için, etkilenen tüm hizmetleri durdurun ve güvenlik güncelleştirmesini yüklemeden önce etkilenen dosyaları kullanabilecek tüm uygulamaları kapatın. Yeniden başlatmanız istenme nedenleri hakkında daha fazla bilgi için 887012 Microsoft Bilgi Bankası makalesine bakın. |
| Çalışırken düzeltme eki uygulama | Uygulanamaz |
| Kaldırma Bilgileri | Bu güvenlik güncelleştirmesi kaldırılamaz. |
| Dosya Bilgileri | Bkz. Microsoft Bilgi Bankası Makalesi 2553413 |
| Kayıt Defteri Anahtarı Doğrulaması | Uygulanamaz |
Dağıtım Bilgileri
Güncelleştirmeyi Yükleme
Etkilenen ve Etkilenmeyen Yazılımlar bölümündeki uygun indirme bağlantısından güncelleştirmeyi yükleyebilirsiniz. Uygulamanızı bir sunucu konumundan yüklediyseniz, sunucu yöneticisi bunun yerine sunucu konumunu yönetim güncelleştirmesi ile güncelleştirmeli ve bu güncelleştirmeyi sisteminize dağıtmalıdır. Yönetici istrative Yükleme Noktaları hakkında daha fazla bilgi için, Algılama ve dağıtım Araçları ve Rehberlik alt bölümündeki Office Yönetici Istrative Yükleme Noktası bilgilerine bakın.
Bu güvenlik güncelleştirmesi, sistemde Windows Installer 3.1 veya sonraki bir sürümün yüklü olmasını gerektirir.
Windows Installer'ın 3.1 veya sonraki bir sürümünü yüklemek için aşağıdaki Microsoft web sitelerinden birini ziyaret edin:
- Windows Server 2008, Windows Vista, Windows Server 2003 ve Windows XP için Windows Installer 4.5 Yeniden Dağıtılabilir
- Windows Server 2003, Windows XP ve Windows 2000 için Windows Installer 3.1 Yeniden Dağıtılabilir
Bu bültende görünen düzeltme gibi terminoloji hakkında daha fazla bilgi için 824684 Microsoft Bilgi Bankası makalesine bakın.
Bu güvenlik güncelleştirmesi aşağıdaki kurulum anahtarlarını destekler.
| Switch | Açıklama |
|---|---|
| /? veya /help | Kullanım iletişim kutusunu görüntüler. |
| /Pasif | Pasif modu belirtir. Kullanıcı etkileşimi gerektirmez; kullanıcılar temel ilerleme durumu iletişim kutularını görür ancak iptal edemez. |
| /quiet | Dosyalar ayıklanırken sessiz modu belirtir veya istemleri bastırır. |
| /norestart | Güncelleştirme yeniden başlatma gerektiriyorsa sistemin yeniden başlatılmasını engeller. |
| /forcerestart | Güncelleştirmenin yeniden başlatma gerekip gerektirmediğine bakılmaksızın, güncelleştirmeyi uyguladıktan sonra sistemi otomatik olarak yeniden başlatır. |
| /Ayıklamak | Dosyaları yüklemeden ayıklar. Bir hedef klasör istenir. |
| /extract:<path> | Yazar tarafından tanımlanan yükleme komutunu geçersiz kılar. Setup.inf veya .exe dosyasının yolunu ve adını belirtir. |
| /lang:<LCID> | Güncelleştirme paketi bu dili desteklediğinde belirli bir dilin kullanımını zorlar. |
| /log:<log dosyası> | Güncelleştirme yüklemesi sırasında hem Vnox hem de Yükleyici tarafından günlüğe kaydetmeyi etkinleştirir. |
Not Bu anahtarları tek bir komutta birleştirebilirsiniz. Geriye dönük uyumluluk için güvenlik güncelleştirmesi, Kurulum programının önceki sürümünün kullandığı kurulum anahtarlarının birçoğunu da destekler. Desteklenen yükleme anahtarları hakkında daha fazla bilgi için 262841 Microsoft Bilgi Bankası makalesine bakın.
Güncelleştirme Kaldırılıyor
Bu güvenlik güncelleştirmesi kaldırılamaz.
Güncelleştirmenin Uygulandığını Doğrulama
Microsoft Baseline Security Analyzer
Etkilenen bir sisteme güvenlik güncelleştirmesi uygulandığını doğrulamak için Microsoft Baseline Security Analyzer (MBSA) aracını kullanabilirsiniz. Daha fazla bilgi için bu bültenin önceki bölümlerinde yer alan Algılama ve Dağıtım Araçları ve Kılavuzu bölümüne bakın.
Dosya Sürümü Doğrulama
Microsoft Windows'un birkaç sürümü olduğundan, sisteminizde aşağıdaki adımlar farklı olabilir. Varsa, bu adımları tamamlamak için ürün belgelerinize bakın.
- Başlat'a tıklayın ve Arama Başlat'a bir güncelleştirme dosyası adı girin.
- Dosya Programlar altında göründüğünde, dosya adına sağ tıklayın ve Özellikler'e tıklayın.
- Genel sekmesinin altında, dosya boyutunu bülten KB makalesinde sağlanan dosya bilgileri tablolarıyla karşılaştırın.
- Ayrıca Ayrıntılar sekmesine tıklayabilir ve dosya sürümü ve değiştirilme tarihi gibi bilgileri bülten KB makalesinde sağlanan dosya bilgileri tablolarıyla karşılaştırabilirsiniz.
- Son olarak, Önceki Sürümler sekmesine tıklayabilir ve dosyanın önceki sürümünün dosya bilgilerini dosyanın yeni veya güncelleştirilmiş sürümüne ilişkin dosya bilgileriyle karşılaştırabilirsiniz.
Diğer Bilgiler
İlgili kaynaklar
- John Hollenberger, themeweb.aspx'de XSS'yi bildirmiş olduğu için (CVE-2012-0144)
- Stratsec'te çalışan Rocco Calvi, wizardlist.aspx'de XSS'yi bildirerek (CVE-2012-0145)
- Minded Security'deki Giorgio Fedon, Microsoft SharePoint'te web hizmetleri erişim denetimlerinin işlenmesini iyileştirmeye yardımcı olmak için kapsamlı bir savunma güncelleştirmesi üzerinde bizimle çalıştığı için
Microsoft Active Protections Programı (MAPP)
Microsoft, müşterilerin güvenlik korumalarını geliştirmek için her aylık güvenlik güncelleştirmesi sürümünden önce önemli güvenlik yazılımı sağlayıcılarına güvenlik açığı bilgileri sağlar. Güvenlik yazılımı sağlayıcıları daha sonra bu güvenlik açığı bilgilerini kullanarak müşterilere güvenlik yazılımları veya virüsten koruma, ağ tabanlı yetkisiz erişim algılama sistemleri veya konak tabanlı yetkisiz erişim önleme sistemleri gibi cihazları aracılığıyla güncelleştirilmiş korumalar sağlayabilir. Güvenlik yazılımı sağlayıcılarından etkin koruma sağlanıp sağlanmadığını belirlemek için lütfen Microsoft Active Protections Program (MAPP) İş Ortakları'nda listelenen program iş ortakları tarafından sağlanan etkin koruma web sitelerini ziyaret edin.
Destek
- ABD ve Kanada'daki müşteriler Güvenlik Desteği'nden veya 1-866-PCSAFETY'den (1-866-727-2338) teknik destek alabilir. Güvenlik güncelleştirmeleriyle ilişkili destek çağrıları için ücret alınmaz. Kullanılabilir destek seçenekleri hakkında daha fazla bilgi için bkz . Microsoft Yardım ve Destek.
- Uluslararası müşteriler, yerel Microsoft yan kuruluşlarından destek alabilir. Güvenlik güncelleştirmeleriyle ilişkili destek için ücret alınmaz. Destek sorunları için Microsoft'a başvurma hakkında daha fazla bilgi için Uluslararası Destek web sitesini ziyaret edin.
Bildirim
Microsoft Bilgi Bankası'nda sağlanan bilgiler herhangi bir garanti olmadan "olduğu gibi" sağlanır. Microsoft, satılabilirlik ve belirli bir amaca uygunluk garantileri dahil olmak üzere açık veya zımni tüm garantileri reddeder. Microsoft Corporation veya tedarikçilerine bu tür zararlar olabileceği bildirilmiş olsa bile, doğrudan, dolaylı, arızi, neticede iş kârı kaybı veya özel zararlar dahil olmak üzere hiçbir durumda Microsoft Corporation veya tedarikçileri herhangi bir zarardan sorumlu tutulamaz. Bazı eyaletler, ortaya çıkabilecek veya arızi zararlar için sorumluluğun hariç tutulmasına veya sınırlandırılmasına izin vermez, bu nedenle söz konusu sınırlama geçerli olmayabilir.
Düzeltmeler
- V1.0 (14 Şubat 2012): Bülten yayımlandı.
2014-04-18T13:49:36Z-07:00'da oluşturuldu