MS01-033: Uma memória intermédia não verificada na extensão de ISAPI Index Server pode permitir a compromisso do servidor Web

Como parte do respectivo processo de instalação, o IIS instala várias extensões ISAPI. São bibliotecas de ligação dinâmica (DLL) que fornecem funcionalidades expandidas. Entre estas é idq.dll, que é um componente do Index Server (conhecido no Windows 2000 como o serviço de indexação) que fornece suporte para scripts administrativos (estes são ficheiros de administração de dados da Internet ou .IDA,) e ficheiros de consulta de dados da Internet (.idq).

Uma vulnerabilidade de segurança resulta porque idq.dll contém uma memória intermédia não verificada numa secção de código que processa URLs de entrada. Um intruso que pode estabelecer uma sessão Web com um servidor no qual está instalado idq.dll pode efectuar um ataque de sobrecarga da memória intermédia e executar código no servidor Web. Idq.dll é executado no contexto de sistema, para que explorar a vulnerabilidade o intruso fornece concluir controlo do servidor e permite-lhe efectuar uma acção nele.

A sobrecarga da memória intermédia ocorre antes de qualquer funcionalidade de indexação é pedida. Como resultado, mesmo que idq.dll seja um componente do serviço de indexação/servidor de indexação, o serviço não é necessário estar em execução para que um intruso explorar a vulnerabilidade. Desde que o mapeamento de scripts para ficheiros .IDQ ou .ida estiver presente e o intruso é capaz de estabelecer uma sessão Web, ele pode explorar a vulnerabilidade.

Claramente, esta é uma vulnerabilidade grave e aconselha vivamente os clientes Microsoft todas os mesmos forma acção imediatamente. Os clientes que não é possível instalar o patch podem proteger os respectivos sistemas removendo os mapeamentos de script para ficheiros .IDQ e .ida utilizando o Gestor de serviços Internet no IIS. No entanto, é possível estes mapeamentos ser restabelecida automaticamente se os componentes de sistema adicionais são adicionados ou removidos. Deste modo, Microsoft recomenda que todos os clientes a utilizar o IIS instalem o patch, mesmo se os mapeamentos de script tiverem sido removidos. Para mais informações, consulte a parte de Perguntas mais FREQUENTES do seguinte Web site da Microsoft:

Factores atenuantes

• A vulnerabilidade só pode ser explorada se é possível estabelecer uma sessão Web com um servidor afectado. Os clientes que instalaram o Index Server ou os serviços de indexação mas não o IIS não estão susceptíveis. Isto acontece predefinido para o Windows 2000 Professional.
• A vulnerabilidade não pode ser explorada se não existirem os mapeamentos de script para ficheiros .ida e .IDQ. O procedimento para remover os mapeamentos discutido listas de verificação IIS 4.0 e IIS 5.0 segurança; podem ser removidos automaticamente com o modelo de segurança alta ou a ferramenta de segurança de servidor do Windows 2000 Internet. Os clientes devem ter em atenção, no entanto, que, subsequentemente, adicionar ou remover componentes do sistema pode causar o mapeamento para ser restabelecida, como discutido na pergunta mais FREQUENTE.
  
  Para mais informações, consulte os seguintes Web sites da Microsoft:
  • IIS 4.0
    http://technet.microsoft.com/en-us/library/cc750570.aspx (http://technet.microsoft.com/en-us/library/cc750570.aspx)
  • IIS 5.0
    http://technet.microsoft.com/en-us/windowsserver/2000/bb735378.aspx (http://technet.microsoft.com/en-us/windowsserver/2000/bb735378.aspx)
  • Ferramenta de segurança de servidor do Windows 2000 Internet
    http://technet.microsoft.com/en-us/library/cc184906.aspx (http://technet.microsoft.com/en-us/library/cc184906.aspx)
• A capacidade um intruso de expandir o controlo de um servidor Web comprometido a outros computadores depende fortemente da configuração específica da rede. Os procedimentos recomendados aconselham que a conta de arquitectura de rede para o risco de alta inerente de computadores num ambiente não controlado, como a Internet, face ao minimizar a exposição geral através de medidas como desmilitarizada zonas (DMZs), a funcionar com os serviços mínimos e isolamento de contacto com redes internas. Passos assim podem limitar a exposição geral e impedir a capacidade do atacante alargar o âmbito de um possível risco de executar.

Windows 2000

Para resolver este problema, obtenha o service pack mais recente do Windows 2000. Para obter informações adicionais, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base: A resolução para este problema também está disponível no Windows 2000 Security Rollup Package 1 (SRP1). Para obter informações adicionais sobre o SRP1, clique no número de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft: Os ficheiros seguintes estão disponíveis para transferência a partir do Centro de transferências da Microsoft:
Data de edição: Segunda-feira, 18 de Junho de 2001

Para obter informações adicionais sobre como transferir ficheiros de suporte da Microsoft, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base: Microsoft procedeu de vírus neste ficheiro. Microsoft utilizou o mais recente software de detecção de vírus que estava disponível na data em que o ficheiro foi publicado. O ficheiro é alojado em servidores com segurança avançada que o ajudam a impedir alterações não autorizadas ao ficheiro. Nota : os clientes que apliquem este patch em computadores baseados no Windows 2000 que estão a executar o Windows Management Instrumentation (WMI) podem também precisar de aplicar uma correcção adicional. Apesar de não estar este patch específico, relacionado com um problema conhecido pode fazer com que o processo WMI (Winmgmt.exe) deixasse de responder (não reagir) e consuma 100 por cento dos recursos da CPU e memória se um programa efectua consultas para os objectos Win32_QuickFixEngineering. Por exemplo, isto pode ocorrer quando o Microsoft Systems Management Server (SMS) consulta WMI para determinar quais as correcções terem sido aplicadas. Para obter informações adicionais sobre como resolver este problema, clique no número de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft: A versão inglesa desta correcção deverá ter os seguintes atributos de ficheiro ou posteriores: Nota : devido a dependências de ficheiros, esta correcção requer o Microsoft Windows 2000 Service Pack 1 ou posterior.

Windows NT 4.0 Server

Para resolver este problema, obtenha o pacote individual referido abaixo ou obter o Windows NT 4.0 Security Rollup Package. Para obter informações adicionais sobre o SRP, clique no número de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft: O ficheiro seguinte está disponível para transferência a partir do Centro de transferências da Microsoft:
Nota : contacto produto serviços de suporte (PSS) para a versão alfa deste patch.

Data de edição: Segunda-feira, 18 de Junho de 2001

Para obter informações adicionais sobre como transferir ficheiros de suporte da Microsoft, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base: Microsoft procedeu de vírus neste ficheiro. Microsoft utilizou o mais recente software de detecção de vírus que estava disponível na data em que o ficheiro foi publicado. O ficheiro é alojado em servidores com segurança avançada que o ajudam a impedir alterações não autorizadas ao ficheiro. A versão inglesa desta correcção deverá ter os seguintes atributos de ficheiro ou posteriores: Nota : devido a dependências de ficheiros, esta correcção requer o Microsoft Windows NT 4.0 Service Pack 6a.

A original patched versão inglesa desta correcção tinha os seguintes atributos de ficheiro: Nota : idq.dll o ficheiro foi publicado novamente para corrigir um problema de versão do ficheiro. Especificamente, o número de versão idq.dll o patch original (datado 25 de Maio de 2001) não tiver sido incrementado da compilação anterior (datada 25 de Janeiro de 2001). Em vez disso, o número da versão para ambos foi 5.0.1781.3. Foi disponibilizada nova versão do patch em 2 de Agosto de 2001, que contém um ficheiro idq.dll datado 03 de Julho de 2001, que foi correctamente versões com versão número 5.0.1782.4. Outras alterações não foram efectuadas na nova versão do patch.

Se tiver instalado a versão original deste patch (idq.dll versão 5.0.1781.3, datada 25 de Maio de 2001), não necessita de aplicar a nova versão (idq.dll versão 5.0.1782.4, datada 03 de Julho de 2001) porque o sistema já está protegido. No entanto, se a versão do ficheiro idq.dll no computador for 5.0.1781.3, datada 25 de Janeiro de 2000, deve actualizar para a nova versão do patch.

Windows NT Server 4.0, Terminal Server Edition

Index Server 2.0 faz parte do Windows NT 4.0 Option Pack que não é suportado no Windows NT Server 4.0, Terminal Server Edition. Correcções para o Index Server 2.0 foram fornecidas como parte do Windows NT Server 4.0, Terminal Server Edition, Security Rollup Package (SRP) apenas para clientes que instalaram o Option Pack para proteger os respectivos computadores durante a migração para um sistema operativo suportado. Para obter informações adicionais sobre o SRP, clique no número de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft:

A Microsoft confirmou que este problema poderá provocar um grau de vulnerabilidade da segurança no Windows 2000 e Windows NT Server 4.0.Este problema foi corrigido pela primeira vez no Windows 2000 Service Pack 3.

Para obter informações adicionais sobre como obter uma correcção para o Windows 2000 Datacenter Server, clique no número de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft: Para obter informações adicionais sobre como instalar várias correcções com apenas um reinício, clique no número de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft: