Microsoft 安全公告 MS09-011 - 严重

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 在基于 Web 的攻击中，攻击者必须拥有一个网站，并在上面放置用来利用此漏洞的网页。 攻击者无法强迫用户访问恶意网站。 相反，攻击者必须诱使用户访问该网站，所采用的方式通常是让用户单击指向攻击者网站的链接。 在用户单击此链接后，将会提示他们执行几项操作。 只有在用户执行这些操作之后才会遭到攻击。
• 成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 禁用 Quartz.dll 中 MJPEG 内容的解码

  要修改注册表项，请执行下列步骤：

  注意 如果注册表编辑器使用不当，可能会导致严重的问题，可能必须重新安装操作系统。 Microsoft 不保证能够解决因注册表编辑器使用不当而导致的问题。 使用注册表编辑器的风险由您自己承担。 有关如何编辑注册表的信息，请查看注册表编辑器 (Regedit.exe) 中的“更改项和值”帮助主题，或查看 Regedt32.exe 中的“在注册表中添加和删除信息”和“编辑注册表数据”帮助主题。

  使用交互方法

  1. 单击“开始”，单击“运行”，在“打开”框中键入 Regedit，然后单击“确定”。
  2. 找到并随后单击下列注册表子项： HKEY_CLASSES_ROOT\CLSID\{301056D0-6DFF-11D2-9EEB-006008039E37}
  3. 单击“文件”菜单并选择“导出”。
  4. 在“导出注册表文件”对话框中，键入 MJPEG_Decoder_Backup.reg，然后单击“保存”。
     
     注意 默认情况下，此操作将在“我的文档”文件夹中创建此注册表项的备份。
  5. 按键盘上的“Delete”键删除该注册表项。 当系统提示您通过“确认项删除”对话框删除注册表项时，单击“是”。

  使用被管理的部署脚本

  1. 使用包含下列命令的被管理的部署脚本创建注册表项的备份副本：
     Regedit.exe /e MJPEG_Decoder_Backup.reg HKEY_CLASSES_ROOT\CLSID\{301056D0-6DFF-11D2-9EEB-006008039E37
  2. 接下来，将下列内容保存到扩展名为 .REG 的文件，例如 Disable_MJPEG_Decoder.reg：
     Windows Registry Editor Version 5.00[-HKEY_CLASSES_ROOT\CLSID\{301056D0-6DFF-11D2-9EEB-006008039E37}]
  3. 在目标计算机上的提升命令提示符处，使用下列命令运行以上注册表脚本：
     Regedit.exe /s Disable_MJPEG_Decoder.reg

  变通办法的影响。MJPEG 内容播放将被禁用。

  如何撤消变通方法。

  使用交互方法

  1. 单击“开始”，单击“运行”，在“打开”框中键入 Regedit，然后单击“确定”。
  2. 单击“文件”菜单并选择“导入”。
  3. 在“导入注册表文件”对话框中，选择 MJPEG_Decoder_Backup.reg，然后选择“打开”。

  使用被管理的部署脚本

  通过运行下列命令还原原始状态：
  Regedit.exe /s MJPEG_Decoder_Backup.reg

• 注销 quartz.dll

  要注销此 DLL，请从提升的命令提示符处运行下列命令。

  对于 32 位 Windows 系统：

  Regsvr32.exe –u %WINDIR%\system32\quartz.dll

  对于 64 位 Windows 系统：

  Regsvr32.exe –u %WINDIR%\syswow64\quartz.dll

  变通办法的影响。Windows Media Player 将不能播放 .AVI 或 .WAV 文件。

  如何撤消变通方法。

  对于 32 位 Windows 系统：

  Regsvr32.exe %WINDIR%\system32\quartz.dll

  对于 64 位 Windows 系统：

  Regsvr32.exe %WINDIR%\syswow64\quartz.dll

此漏洞的影响范围有多大？  
这是一个远程执行代码漏洞。 成功利用此漏洞的攻击者可以完全远程控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

造成漏洞的原因是什么？  
Microsoft DirectShow 组件处理特制压缩文件的方式不正确。

什么是 DirectX？  
Microsoft DirectX 是 Windows 操作系统的一个功能。 它用于 Microsoft Windows 操作系统上的流式媒体，在玩游戏或观看视频时支持图形和声音。

什么是 DirectShow？  
DirectX 由一组低级应用程序编程接口 (API) 组成，Windows 程序使用这组接口以实现多媒体支持。 在 DirectX 内，DirectShow 技术执行客户端音频和视频的提供、处理及输出。

Microsoft DirectShow 用于 Microsoft Windows 操作系统上的流式媒体。 DirectShow 用于高质量地捕获和播放多媒体流。 它自动检测和使用视频和音频加速硬件（如果有），同样也支持没有加速硬件的系统。 DirectShow 还与其他 DirectX 技术集成。 可以使用 DirectShow 创建的应用程序的一些示例包括 DVD 播放器、视频编辑应用程序、AVI 到 ASF 转换器、MP3 播放器和数字视频捕获应用程序。

什么是 MJPEG 文件？  
MJPEG 文件是一种媒体文件，在该类文件中，大量 JPEG 图像组合到一起形成视频流。 MJPEG 视频流可以插入到 AVI 或其他常用的视频格式文件中。

攻击者可能利用此漏洞执行什么操作？  
如果用户使用管理用户权限登录，成功利用此漏洞的攻击者便可完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

攻击者如何利用此漏洞？  
此漏洞要求用户打开特制的 MJPEG 文件，或者从网站或提供 Web 内容的任何应用程序接收特制的流式内容。

在电子邮件攻击情形中，攻击者可以通过向用户发送内嵌有特制 MJPEG 文件的媒体文件并诱使用户打开该文件来利用此漏洞。

在基于 Web 的攻击情形中，攻击者必须拥有一个网站，其中包含用来试图利用此漏洞的特制内容。 另外，接受或宿主用户提供的内容的网站以及受到破坏的网站可能包含可能利用此漏洞的特制内容。 攻击者无法强迫用户访问特制的网站。 相反，攻击者必须说服用户访问该网站，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站。

受此漏洞威胁最大的系统有哪些？  
工作站和终端服务器受到的威胁最大。 当应该没有足够管理权限的用户被授予登录到服务器并运行程序的权限时，服务器会更有危险。 不过，最佳做法是不要授予这样的权限。

此更新有什么作用？  
此更新通过更正 DirectShow 解压缩媒体文件的方式来解决问题。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

注意 对于受支持版本 Windows XP Professional x64 Edition，此安全更新与受支持版本 Windows Server 2003 x64 Edition 的安全更新相同。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。