MS01-026: Nadbytečné dekódovací operace může umožnit spuštění příkazu přes IIS

Překlady článku Překlady článku
ID článku: 295534 - Produkty, které se vztahují k tomuto článku.
Tento článek byl archivován. Je nabízen v takovém stavu, v jakém je, a nebude již nadále aktualizován.
Rozbalit všechny záložky | Minimalizovat všechny záložky

Na této stránce

Příznaky

Existuje chyba zabezpečení v Internetová informační služba (IIS) 5.0 a Microsoft Internet Information Server (IIS) 4.0, můžete povolit uživateli se zlými úmysly (spuštění) příkazy operačního systému na ohroženém serveru. To poskytuje uživateli se zlými úmysly schopnost upravovat webové stránky, přidat, změnit, nebo odstraňte soubory, přeformátovat pevný disk nebo jiným akcím (například ukládání jakéhokoli kódu na serveru a spuštění).

Doporučené postupy Pokud postupovali, provádět jej složité nebo nemožné útočník tuto chybu zabezpečení zneužít. I když útočník úspěšně zneužil jej, chybu zabezpečení by útočník neuděluje řízení správy prostřednictvím serveru. Místo toho chybu udělí oprávnění útočník, které jsou obvykle vyhrazeny pro uživatele, kteří mohou k serveru interaktivně přihlásit. Nicméně i těchto oprávnění můžete povolit uživateli se zlými úmysly způsobit poškození rozšířených a povolit bod, ze kterého může uživatel se zlými úmysly spustit další útoky hope z získání další oprávnění.

Skutečnosti snižující závažnost rizika:
  • Tato chyba zabezpečení neposkytuje způsobem útočník informace struktura složek na serveru. Výsledkem je Pokud je operační systém nainstalován na samostatné jednotce z kořenového webu nebo nestandardní složek, můžete zabránit útočník z vyhledání programů úrok.
  • Tato chyba zabezpečení neposkytuje přístup k serveru pro správu. Pokud postupovali doporučení v IIS 4.0 a 5.0 kontrolní seznamy zabezpečení citlivých programy jsou přesunuty do složky přístup pouze správce a bez správy přístupu k prostředkům serveru je vážně omezeno.

Příčina

K této chybě zabezpečení dochází kvůli chybě v funkce zpracovává požadavky na serveru spustit programy, které jsou umístěny. Nadbytečné operace dekódování by dát útočníkovi příležitost vynechat kontroly zabezpečení a řídicí struktury virtuální složka na serveru, a tím povolení útočník spustit příkazy operačního systému na serveru.

Řešení

Další informace o chybách opravených následující opravy klepnutím na článek číslo článku databáze Microsoft Knowledge Base:
297860Souhrnná aktualizace zabezpečení služby IIS 5.0 a serveru IIS 4.0 vydaná po vydání aktualizace Windows NT 4.0 SP5 (Tento článek může obsahovat odkazy na anglický obsah (dosud nepřeložený).)

Internet Information Services 5.0

Chcete-li tento problém vyřešit, opatřete si opravu hotfix uvedenou v této části nebo balíček Windows 2000 Security Rollup Package 1 (SRP1). Další informace o balíčku SRP1 naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
311401Opravný balíček Security Rollup Package 1 (SRP1) pro systém Windows 2000, leden 2002
Tento problém vyřešíte pomocí nejnovější aktualizace service pack pro systém Windows 2000. Další informace získáte v následujícím článku znalostní báze Microsoft Knowledge Base:
260910Jak získat nejnovější aktualizaci Service Pack pro systém Windows 2000
Na webu služby Stažení softwaru je k dispozici ke stažení následující soubor:
Zmenšit tento obrázekZvětšit tento obrázek
Download
Download Q293826_W2K_SP3_x86_en.exe now
Další informace o tom, jak stahovat soubory podpory společnosti Microsoft, naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
119591Jak získat soubory podpory společnosti Microsoft ze serverů služeb online
Microsoft tento soubor zkontroloval na výskyt virů. Společnost Microsoft použila aktuální antivirový software, který byl k dispozici v den uveřejnění tohoto článku. Soubor je uložený na zabezpečených serverech neumožňujících neoprávněné změny souborů. Anglická verze této opravy má následující nebo vyšší atributy souborů:
   Date        Time    Version        Size     File name
   --------------------------------------------------------
   05/04/2001  11:48a  5.0.2195.3407  245,520  Adsiis.dll
   05/04/2001  11:48a  5.0.2195.3407  332,560  Asp.dll
   08/26/2000  06:30p                   6,512  Fixerr.js
   11/10/2000  11:21p  5.0.2195.3407  593,976  Fp4autl.dll
   03/27/2001  10:10p  5.0.2195.3407  445,712  Httpext.dll
   05/04/2001  11:48a  5.0.2195.3407   56,592  Httpodbc.dll
   05/04/2001  11:48a  5.0.2195.3407  122,640  Iisrtl.dll
   05/04/2001  11:48a  5.0.2195.3407   13,584  Infoadmn.dll
   05/04/2001  11:48a  5.0.2195.3407  245,520  Infocomm.dll
   05/04/2001  11:48a  5.0.2195.3407   62,736  Isatq.dll
   05/04/2001  11:48a  5.0.2195.3407   46,352  Ism.dll
   05/04/2001  11:48a  5.0.2195.3407   76,560  Msw3prt.dll
   10/17/2000  01:38p  5.0.2195.3407    6,928  Schmupd.exe
   05/04/2001  11:48a  5.0.2195.3407   41,232  Ssinc.dll
   05/04/2001  11:48a  5.0.2195.3407    7,440  W3ctrs.dll
   05/04/2001  11:48a  5.0.2195.3407  357,648  W3svc.dll
				
Poznámka: tuto opravu můžete nainstalovat v systémech se systémem Microsoft Windows 2000 Gold, Windows 2000 Service Pack 1 nebo Windows 2000 Service Pack 2.

IIS 4.0

Chcete-li problém vyřešit, opatřete si opravný balíček Windows NT 4.0 Security Rollup Package. Další informace naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
299444Aktualizace Security Rollup Package (SRP) vydaná po vydání aktualizace Windows NT 4.0 Service Pack 6a
Společnost Microsoft má nyní k dispozici podporovanou opravu hotfix, která je však určena pouze k opravě problému popsaného v tomto článku. Použijte ji pouze u systémů, které jsou podle vašeho názoru ohroženy útokem. Vyhodnoťte fyzickou dostupnost počítače, možnost připojení k síti a k Internetu a další faktory určující míru ohrožení počítače. Viz přidružené Microsoft Security Bulletin pomoci určit stupeň rizika. Tato oprava hotfix může být dále testována. Je-li váš počítač výrazně ohrožen, doporučujeme použít tuto opravu hotfix ihned.

Potřebujete-li odstranit tento problém okamžitě, stáhněte si opravu hotfix (podle pokynů uvedených dále v tomto článku) nebo se obraťte na oddělení technické podpory společnosti Microsoft, kde můžete tuto opravu hotfix získat. Úplný seznam telefonních čísel služeb technické podpory společnosti Microsoft a informace o cenách technické podpory naleznete na tomto webu společnosti Microsoft:
http://support.microsoft.com/contactus/?ws=support
Poznámka: Poplatky, které je třeba obvykle zaplatit za telefonní hovory, mohou být stornovány, jestliže pracovník technické podpory společnosti Microsoft zjistí, že oznámený problém lze vyřešit konkrétní aktualizací. Další dotazy a žádosti o odbornou pomoc, které se netýkají této zvláštní opravy, podléhají běžným sazbám za poskytnutí odborné pomoci. Na webu služby Stažení softwaru je k dispozici ke stažení následující soubor:
Zmenšit tento obrázekZvětšit tento obrázek
Download
Download Q295534i.exe now
Poznámka: Q295534is.exe jsou soubory symboly.
Další informace o tom, jak stahovat soubory podpory společnosti Microsoft, naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
119591Jak získat soubory podpory společnosti Microsoft ze serverů služeb online
Microsoft tento soubor zkontroloval na výskyt virů. Společnost Microsoft použila aktuální antivirový software, který byl k dispozici v den uveřejnění tohoto článku. Soubor je uložený na zabezpečených serverech neumožňujících neoprávněné změny souborů. Anglická verze této opravy má následující nebo vyšší atributy souborů:
   Date        Time    Version        Size     File name     Platform
   ------------------------------------------------------------------
   04/11/2001  01:32p  4.2.764.1      214,544  Adsiis.dll    x86
   04/11/2001  01:33p  4.2.764.1      330,672  Asp.dll       x86
   04/02/2001  04:55p  4.0.2.4701     593,976  Fp4autl.dll   x86
   04/11/2001  01:32p  4.2.764.1       81,888  Ftpsvc2.dll   x86
   04/11/2001  01:32p  4.2.764.1       55,392  Httpodbc.dll  x86
   04/11/2001  01:32p  4.2.764.1       98,912  Iischema.dll  x86
   04/11/2001  01:31p  4.2.764.1       63,472  Iislog.dll    x86
   04/11/2001  01:31p  4.2.764.1      185,792  Infocomm.dll  x86
   04/11/2001  01:31p  4.2.764.1       29,520  Iscomlog.dll  x86
   04/11/2001  01:35p  4.2.764.1       54,560  Ism.dll       x86
   04/02/2001  04:55p  4.0.1381.7086  375,056  Kernel32.dll  x86
   04/11/2001  01:36p  4.2.764.1        9,680  Schmupd.exe   x86
   04/11/2001  01:32p  4.2.764.1       38,256  Ssinc.dll     x86
   04/11/2001  01:32p  4.2.764.1       25,360  Sspifilt.dll  x86
   04/11/2001  01:32p  4.2.764.1      229,024  W3svc.dll     x86
   04/11/2001  01:31p  4.2.764.1       88,032  Wam.dll       x86

   08/20/1999  12:26a  4.0.1381.321   171,280  W3svc.dll     Alpha
				
Poznámka: tuto opravu můžete nainstalovat v počítačích se systémem Windows NT 4.0 Service Pack 5 nebo Windows NT 4.0 Service Pack 6a.

Systému Windows NT Server verze 4.0, Terminal Server Edition

Chcete-li problém vyřešit, opatřete si opravný balíček Security Rollup Package (SRP) pro systém Windows NT Server 4.0 Terminal Server Edition. Další informace o balíčku SPR získáte v následujícím článku znalostní báze Microsoft Knowledge Base:
317636Windows NT Server 4.0, Terminal Server Edition Security Rollup Package

Prohlášení

Internet Information Services 5.0

Společnost Microsoft potvrzuje, že tento problém může určitým způsobem ohrozit zabezpečení Internetová informační služba 5.0.Tento problém byl poprvé opraven aktualizací Windows 2000 Service Pack 3.

IIS 4.0

Společnost Microsoft potvrzuje, že tento problém může určitým způsobem ohrozit zabezpečení Internet Information Server 4.0.

Další informace

Další informace o získání opravy hotfix pro produkt Windows 2000 Datacenter Server získáte v následujícím článku znalostní báze Microsoft Knowledge Base:
265173Program pro podporu serveru Datacenter a produkt Windows 2000 Datacenter Server
Další informace o instalaci více oprav hotfix pouze s jedním restartováním počítače naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
296861Instalace více aktualizací nebo oprav hotfix pro systém Windows s pouze jedním restartováním počítače
Další informace o této chybě zabezpečení naleznete na následujícím webu:
http://www.microsoft.com/technet/security/bulletin/ms01-026.mspx

Vlastnosti

ID článku: 295534 - Poslední aktualizace: 13. února 2014 - Revize: 5.4
Informace v tomto článku jsou určeny pro produkt:
  • Microsoft Internet Information Services 5.0
  • Microsoft Internet Information Server 4.0
Klíčová slova: 
kbnosurvey kbarchive kbmt kbhotfixserver kbqfe kbbug kbfix kbgraphxlinkcritical kbsechack kbsecurity kbsecvulnerability kbwin2000presp3fix kbwin2000sp3fix KB295534 KbMtcs
Strojově přeložený článek
Důležité: Tento článek byl přeložen pomocí software společnosti Microsoft na strojový překlad, ne profesionálním překladatelem. Společnost Microsoft nabízí jak články přeložené překladatelem, tak články přeložené pomocí software na strojový překlad, takže všechny články ve Znalostní databázi (Knowledge Base) jsou dostupné v češtině. Překlad pomocí software na strojový překlad ale není bohužel vždy dokonalý. Obsahuje chyby ve skloňování slov, skladbě vět, nebo gramatice, podobně jako když cizinci dělají chyby při mluvení v češtině. Společnost Microsoft není právně zodpovědná za nepřesnosti, chyby nebo škody vzniklé chybami v překladu, nebo při použití nepřesně přeložených instrukcí v článku zákazníkem. Společnost Microsoft aktualizuje software na strojový překlad, aby byl počet chyb omezen na minimum.
Projděte si také anglickou verzi článku:295534

Dejte nám zpětnou vazbu

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com