MS01-033: Buffer não verificado na extensão do Index Server ISAPI pode permitir o compromisso do servidor Web

Como parte do seu processo de instalação, o IIS instala várias extensões ISAPI. São bibliotecas de vínculo dinâmico (DLLs) que fornecem funcionalidade estendida. Entre eles é idq.dll, que é um componente do Index Server (conhecida no Windows 2000 como o serviço de indexação) que oferece suporte a scripts administrativos (esses são arquivos de administração de dados de Internet ou .ida,) e arquivos de consulta de dados de Internet (.idq).

Uma vulnerabilidade de segurança ocorre porque idq.dll contém um buffer não verificado em uma seção de código que administra URLs de entrada. Um invasor pode estabelecer uma sessão Web com um servidor no qual está instalado idq.dll pode conduzir um ataque de saturação de buffer e executar código no servidor Web. Idq.dll é executado no contexto do sistema para que exploração da vulnerabilidade dá o invasor completar o controle do servidor e permite que ele execute qualquer ação nele.

A saturação do buffer ocorre antes de qualquer funcionalidade de indexação é solicitada. Como resultado, embora idq.dll seja um componente do serviço de servidor/indexação de índice, o serviço não é necessário estar executando para que um invasor explorar a vulnerabilidade. Desde que o mapeamento de script para .idq ou .ida arquivos estiver presente, e o invasor é capaz de estabelecer uma sessão da Web, ele pode explorar a vulnerabilidade.

Obviamente, isso é uma grave vulnerabilidade e Microsoft insiste que todos os clientes entram em ação imediatamente. Os clientes que não é possível instalar o patch podem proteger seus sistemas removendo os mapeamentos de script para arquivos .idq e .ida ao usando o Gerenciador de serviços de Internet no IIS. No entanto, é possível para esses mapeamentos a ser restabelecidas automaticamente se componentes adicionais do sistema estiverem adicionados ou removidos. Devido a isso, Microsoft recomenda que todos os clientes usando o IIS instalem o patch, mesmo se os mapeamentos de script foram removidos. Para obter mais informações, consulte a seção Perguntas FREQÜENTES do site da Microsoft:

Fatores atenuantes

• A vulnerabilidade só pode ser explorada se uma sessão da Web pode ser estabelecida com um servidor afetado. Os clientes que instalaram o Index Server ou serviços de indexação, mas não o IIS não correm risco. Esse é o caso padrão para o Windows 2000 Professional.
• A vulnerabilidade não pode ser explorada se os mapeamentos de script para arquivos .ida e .idq não estiverem presentes. O procedimento para remover os mapeamentos é discutido com as listas de verificação IIS 4.0 e IIS 5.0 Security; eles podem ser removidos automaticamente com o modelo de segurança alta ou a ferramenta de segurança do Windows 2000 Internet Server. Os clientes devem estar cientes, no entanto, que posteriormente adicionar ou remover componentes do sistema pode causar o mapeamento a ser restaurada, conforme discutido em perguntas FREQÜENTES.
  
  Para obter mais informações, consulte os seguintes sites:
  • IIS 4.0
    http://technet.microsoft.com/en-us/library/cc750570.aspx (http://technet.microsoft.com/en-us/library/cc750570.aspx)
  • IIS 5.0
    http://technet.microsoft.com/en-us/windowsserver/2000/bb735378.aspx (http://technet.microsoft.com/en-us/windowsserver/2000/bb735378.aspx)
  • Ferramenta de segurança do Windows 2000 Internet Server
    http://technet.microsoft.com/en-us/library/cc184906.aspx (http://technet.microsoft.com/en-us/library/cc184906.aspx)
• Capacidade um invasor de estender o controle de um servidor Web comprometido para outros computadores depende muito a configuração específica da rede. As práticas recomendadas sugerem que a conta de arquitetura de rede para o alto risco inerente que enfrentam computadores em um ambiente não controlado, como a Internet, minimizando a exposição geral embora mede como desmilitarizada zonas (DMZs), operando com os serviços mínimos e isolar o contato com redes internas. Etapas como isso podem limitar a exposição geral e impedem a capacidade de um invasor para ampliar o escopo de um comprometimento possível.

Windows 2000

Para resolver esse problema, obtenha o service pack mais recente para o Windows 2000. Para obter informações adicionais, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft: A resolução para esse problema também está disponível no Windows 2000 Security Rollup Package 1 (SRP1). Para obter informações adicionais sobre o SRP1, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft: Os seguintes arquivos estão disponíveis para download no Centro de download da Microsoft:
Data de lançamento: Segunda-feira, 18 de junho de 2001

Para obter informações adicionais sobre como baixar arquivos de suporte da Microsoft, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft: Microsoft examinou esse arquivo em busca de vírus. Microsoft utilizou o mais recente software de detecção de vírus que estava disponível na data em que o arquivo foi publicado. O arquivo é armazenado em servidores com segurança avançada que ajudam a evitar qualquer alteração não autorizada no arquivo. Observação : os clientes que aplicar esse patch em computadores baseados no Windows 2000 que estão executando o WMI (Instrumentação de gerenciamento do Windows) também podem precisar aplicar um hotfix adicional. Embora seja não relacionado a esse patch específico, um problema conhecido pode causar o processo WMI (winmgmt.exe) pare de responder (travar) e consumir 100 por cento dos recursos de CPU e memória se um programa consulta para objetos Win32_QuickFixEngineering. Por exemplo, isso pode ocorrer quando o Microsoft Systems Management Server (SMS) consulta WMI para determinar quais hotfixes foram aplicados. Para obter informações adicionais sobre como resolver esse problema, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft: A versão em inglês dessa correção deve ter os seguintes atributos de arquivo ou posteriores: Observação : devido a dependências do arquivo, esse hotfix requer o Microsoft Windows 2000 Service Pack 1 ou posterior.

Windows NT 4.0 Server

Para resolver esse problema, obtenha o pacote individual mencionado abaixo ou obtenha o Windows NT 4.0 Security Rollup Package. Para obter informações adicionais sobre o SRP, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft: O seguinte arquivo está disponível para download no Centro de download da Microsoft:
Observação : contato produto Support Services (PSS) para a versão Alpha desse patch.

Data de lançamento: Segunda-feira, 18 de junho de 2001

Para obter informações adicionais sobre como baixar arquivos de suporte da Microsoft, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft: Microsoft examinou esse arquivo em busca de vírus. Microsoft utilizou o mais recente software de detecção de vírus que estava disponível na data em que o arquivo foi publicado. O arquivo é armazenado em servidores com segurança avançada que ajudam a evitar qualquer alteração não autorizada no arquivo. A versão em inglês dessa correção deve ter os seguintes atributos de arquivo ou posteriores: Observação : devido a dependências do arquivo, esse hotfix exige o Microsoft Windows NT 4.0 Service Pack 6a.

A versão de patch original em inglês dessa correção tinha os seguintes atributos de arquivo: Observação : idq.dll o arquivo foi relançado para corrigir um problema de versão do arquivo. Especificamente, o número de versão idq.dll no patch original (datado de 25 de maio de 2001) não foi incrementado da compilação anterior (datada de 25 de janeiro de 2001). Em vez disso, o número de versão para ambos era 5.0.1781.3. Uma nova versão do patch foi lançada em 2 de agosto de 2001, que contém um arquivo IDQ.dll datado de 03 de julho de 2001, que foi apropriadamente versionado com versão número 5.0.1782.4. Nenhuma outra alteração foi feita na nova versão do patch.

Se você instalou a versão original desse patch (idq.dll versão 5.0.1781.3, datado de 25 de maio de 2001), não é necessário aplicar a nova versão (idq.dll versão 5.0.1782.4, datado 03 de julho de 2001) porque o sistema já está protegido. No entanto, se a versão do arquivo IDQ.dll no seu computador for 5.0.1781.3, datado de 25 de janeiro de 2000, você deve atualizar para a nova versão do patch.

Windows NT Server 4.0, Terminal Server Edition

Index Server 2.0 é parte do Windows NT 4.0 Option Pack que não tem suporte no Windows NT Server 4.0, Terminal Server Edition. Os patches para Index Server 2.0 foram fornecidos como parte do Windows NT Server 4.0, Terminal Server Edition, Security Rollup Package (SRP) somente para os clientes que instalaram o Option Pack para proteger seus computadores durante a migração para um sistema operacional com suporte. Para obter informações adicionais sobre o SRP, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:

A Microsoft confirmou que esse problema pode causar um grau de vulnerabilidade de segurança no Windows 2000 e no Windows NT Server 4.0.Esse problema foi corrigido primeiro no Windows 2000 Service Pack 3.

Para obter informações adicionais sobre como obter um hotfix para Windows 2000 Datacenter Server, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft: Para obter informações adicionais sobre como instalar diversos hotfixes com apenas uma reinicialização, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft: