MS01-044: Oprava chyby "Zvýšení úrovně oprávnění SSI" ohrožující zabezpečení

Překlady článku Překlady článku
ID článku: 301625 - Produkty, které se vztahují k tomuto článku.
Tento článek byl dříve publikován CZ301625
Tento článek byl archivován. Je nabízen v takovém stavu, v jakém je, a nebude již nadále aktualizován.
Upozornění : Pokud opravu popisovanou v tomto článku nainstalujete do počítače se serverem IIS 3.0, nebudou fungovat služby IIS 3.0, FTP a Proxy. Tuto opravu je možné instalovat pouze do počítačů se serverem IIS 4.0 nebo vyšším. Verzi vašeho serveru IIS ověříte podle následujících pokynů:
  1. Klepněte na tlačítko Start , dále klepněte na položku Nastavení a poté klepněte na položku Ovládací panely .
  2. Poklepejte na položku Nástroje pro správu a poté klepněte na položku Služby .
  3. V seznamu Služby se pokuste nalézt službu IIS Admin Service.
Pokud službu IIS Admin Service naleznete, můžete opravu uvedenou v tomto článku stáhnout a nainstalovat.

Pokud službu IIS Admin Service nenaleznete, vaše verze serveru IIS není ohrožena chybou, kterou popisovaná oprava opravuje, a proto není nutná žádná operace. Server IIS 3.0 není touto chybou ohrožený a tuto opravu nepotřebuje.

Pokud náhodou nainstalujete tuto opravu do počítače se serverem IIS 3.0, můžete ji úspěšně odebrat pomocí panelu Přidat nebo odebrat programy a obnovit tak všechny funkce serveru IIS 3.0.
Rozbalit všechny záložky | Minimalizovat všechny záložky

Na této stránce

Příznaky

Servery Internet Information Services (IIS) 5.0 a Internet Information Server (IIS) 4.0 jsou ohroženy chybou přetečení vyrovnávací paměti, kterou může útočník zneužít k získání úplného řízení postiženého serveru a provést s ním libovolné operace. Tuto chybu je možné zneužít pouze pomocí kódu běžícího na serveru. Útočník proto musí pro zneužití této chyby mít již dříve získanou možnost instalovat na server software. Obecně je doporučeno neumožnit nedůvěryhodným uživatelům instalovat na webový server jakýkoli software.

Příčina

K této chybě dochází proto, že kód zpracovávající soubory include na straně serveru obsahuje nekontrolovanou vyrovnávací paměť. Pokud je na postižený server nainstalovaný soubor obsahující úmyslně poškozenou serverovou direktivu include, může útočník způsobit přetečení zásobníku při nejbližší žádosti libovolného uživatele o daný soubor.

Řešení

Internet Information Services 5.0

Tyto potíže odstraníte buď instalací opravy hotfix odkazované v této části, nebo opravného balíčku Security Rollup Package 1 (SRP1) pro systém Windows 2000. Další informace o opravném balíčku SRP1 naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
311401 Opravný balíček Security Rollup Package 1 (SRP1) pro systém Windows 2000, leden 2002
Společnost Microsoft vydala opravu, která tyto potíže odstraňuje. Měla by ale být použita pouze v systémech, které jsou touto chybou skutečně ohroženy. Prověřte fyzickou přístupnost počítače, připojení k síti a Internetu a další faktory určující stupeň ohrožení počítače. Další informace, které naleznete v bulletinu Microsoft Security Bulletin, vám pomohou případné ohrožení identifikovat. Tato oprava bude dále testována. Pokud je váš počítač ohrožený, doporučujeme její instalaci okamžitě. Pokud jste tyto potíže nezjistili, doporučujeme počkat na novou aktualizaci Service Pack pro systém Windows 2000, která tyto potíže odstraňuje.

Pokud potřebujete tyto potíže odstranit okamžitě, stáhněte podle pokynů níže opravu nebo se se žádostí o tuto opravu obraťte na službu odborné pomoci společnosti Microsoft. Úplný seznam telefonních čísel a ceník poskytované odborné pomoci naleznete na webu na adrese:

http://support.microsoft.com/directory/overview.asp
Poznámka: Ve zvláštních případech nemusí být poplatky za poskytnutí odborné pomoci účtovány, pokud pracovník služeb odborné pomoci společnosti Microsoft potvrdí, že tato zvláštní oprava odstraní vaše potíže. Další dotazy a žádosti o odbornou pomoc, které se netýkají této zvláštní opravy, podléhají běžným sazbám za poskytnutí odborné pomoci.

V centru pro stahování Microsoft Download Center je k dispozici ke stažení následující soubor:
Zmenšit tento obrázekZvětšit tento obrázek

Stáhnout
Stáhnout soubor Q301625_W2K_SP3_x86_en.exe
Poznámka : Tuto opravu je možné nainstalovat do počítače se systémem Windows 2000 Service Pack 1 či Windows 2000 Service Pack 2.

Datum vydání: 15. srpna 2001

Další informace o stahování souborů odborné pomoci společnosti Microsoft naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
119591 Jak získat soubory odborné pomoci společnosti Microsoft ze serverů služeb online
Společnost Microsoft použila ke kontrole tohoto souboru nejnovější antivirový software, který byl k dispozici v době jeho publikování. Po publikování je soubor uložen na zabezpečených serverech neumožňujících neoprávněné změny souborů.

Anglická verze této opravy by měla mít následující atributy nebo vyšší:
   Datum        Čas    Verze          Velikost  Název souboru
   ----------------------------------------------------------
   6. 8. 2001  17:10  5.0.2195.4051  245 520    ADSIIS.DLL
   6. 8. 2001  17:10  5.0.2195.4051  333 072    ASP.DLL
   29. 5. 2001 19:37  4.0.2.4701     593 976    FP4AUTL.DLL
   6. 8. 2001  17:10  5.0.2195.3649  299 792    FSCFG.DLL
   6. 8. 2001  17:10  5.0.2195.4051    8 464    FTPCTRS2.DLL
   6. 8. 2001  17:10  5.0.2195.4051    6 416    FTPMIB.DLL
   6. 8. 2001  17:10  5.0.2195.4051  246 032    HTTPEXT.DLL
   6. 8. 2001  17:10  5.0.2195.4051    9 488    HTTPMIB.DLL
   6. 8. 2001  17:10  5.0.2195.4051   56 592    HTTPODBC.DLL
   6. 8. 2001  17:10  5.0.2195.3649  121 104    IDQ.DLL
   6. 8. 2001  17:10  5.0.2195.4063  122 640    IISRTL.DLL
   6. 8. 2001  17:10  5.0.2195.4051   13 584    INFOADMN.DLL
   6. 8. 2001  17:10  5.0.2195.4051  245 520    INFOCOMM.DLL
   6. 8. 2001  17:10  5.0.2195.4051   62 736    ISATQ.DLL
   6. 8. 2001  17:10  5.0.2195.3649   46 352    ISM.DLL
   6. 8. 2001  17:10  5.0.2195.3649   76 560    MSW3PRT.DLL
   30. 5. 2001 18:40  5.0.2195.3651    6 928    SCHMUPD.EXE
   14. 6. 2001 22:44  5.0.2195.3747   41 232    SSINC.DLL
   6. 8. 2001  17:10  5.0.2195.4051    7 440    W3CTRS.DLL
   6. 8. 2001  17:10  5.0.2195.4051  353 552    W3SVC.DLL

Internet Information Server 4.0

Společnost Microsoft vydala opravu, která tyto potíže odstraňuje. Měla by ale být použita pouze v systémech, které jsou touto chybou skutečně ohroženy. Prověřte fyzickou přístupnost počítače, připojení k síti a Internetu a další faktory určující stupeň ohrožení počítače. Další informace, které naleznete v bulletinu Microsoft Security Bulletin, vám pomohou případné ohrožení identifikovat. Tato oprava bude dále testována. Pokud je váš počítač ohrožený, doporučujeme její instalaci okamžitě.

Pokud potřebujete tyto potíže odstranit okamžitě, stáhněte podle pokynů níže opravu nebo se se žádostí o tuto opravu obraťte na službu odborné pomoci společnosti Microsoft. Úplný seznam telefonních čísel a ceník poskytované odborné pomoci naleznete na webu na adrese:

http://support.microsoft.com/directory/overview.asp
Poznámka: Ve zvláštních případech nemusí být poplatky za poskytnutí odborné pomoci účtovány, pokud pracovník služeb odborné pomoci společnosti Microsoft potvrdí, že tato zvláštní oprava odstraní vaše potíže. Další dotazy a žádosti o odbornou pomoc, které se netýkají této zvláštní opravy, podléhají běžným sazbám za poskytnutí odborné pomoci.

V centru pro stahování Microsoft Download Center je k dispozici ke stažení následující soubor:
Zmenšit tento obrázekZvětšit tento obrázek

Stáhnout
Stáhnout soubor Q301625i.exe

Poznámka : Soubor Q301625is.exe obsahuje soubory Symbols.
Uživatelé řadiče Compaq Array Controller : Pokud používáte ovladač řadiče Compaq Array Controller (Cpqarray.sys) stažený z webového serveru, serveru FTP či služby SmartStart společnosti Compaq, prostudujte si následující článek znalostní báze Microsoft Knowledge Base, který obsahuje informace, jak tyto potíže odstranit:
305228 Po instalaci opravného balíčku Windows NT 4.0 Security Rollup Package dochází k chybě "STOP 0xA"
Poznámka : Tuto opravu je možné nainstalovat do počítače se systémem Windows NT 4.0 Service Pack 5 či Windows NT 4.0 Service Pack 6a.

Datum vydání: 15. srpna 2001

Další informace o stahování souborů odborné pomoci společnosti Microsoft naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
119591 Jak získat soubory odborné pomoci společnosti Microsoft ze serverů služeb online
Společnost Microsoft použila ke kontrole tohoto souboru nejnovější antivirový software, který byl k dispozici v době jeho publikování. Po publikování je soubor uložen na zabezpečených serverech neumožňujících neoprávněné změny souborů.

Anglická verze této opravy by měla mít následující atributy nebo vyšší:
   Datum        Čas    Verze          Velikost  Název souboru
   ----------------------------------------------------------
   10. 8. 2001  12:46  4.2.769.1      214 544   ADSIIS.DLL
   10. 8. 2001  12:47  4.2.769.1      330 672   ASP.DLL
   2. 4. 2001   16:55  4.0.2.4701     593 976   FP4AUTL.DLL
   10. 8. 2001  12:46  4.2.769.1       81 888   FTPSVC2.DLL
   10. 8. 2001  12:46  4.2.769.1       55 392   HTTPODBC.DLL
   13. 6. 2001  16:14  5.0.1782.4     193 296   IDQ.DLL
   10. 8. 2001  12:46  4.2.769.1       98 912   IISCHEMA.DLL
   10. 8. 2001  12:45  4.2.769.1       63 472   IISLOG.DLL
   10. 8. 2001  12:45  4.2.769.1      185 792   INFOCOMM.DLL
   10. 8. 2001  12:45  4.2.769.1       29 520   ISCOMLOG.DLL
   10. 8. 2001  12:48  4.2.769.1       54 560   ISM.DLL
   2. 4. 2001   16:55  4.0.1381.7086  375 056   KERNEL32.DLL
   10. 8. 2001  12:49  4.2.769.1        9 680   SCHMUPD.EXE
   10. 8. 2001  12:46  4.2.769.1       38 256   SSINC.DLL
   10. 8. 2001  12:46  4.2.769.1       25 360   SSPIFILT.DLL
   10. 8. 2001  12:46  4.2.769.1      229 536   W3SVC.DLL
   10. 8. 2001  12:45  4.2.769.1       88 032   WAM.DLL


Pokud tuto opravu nainstalujete na server Exchange 5.5 se službou Outlook Web Access (OWA), bude se všem klientům služby OWA zobrazovat zpráva "Platnost hesla vyprší za 0 dnů".

Tyto potíže odstraníte tak, že po instalaci opravy provedete následující operace:
  1. Přejděte do složky C:\Exchsrvr\Webdata\USA.
  2. Vytvořte kopii souboru Root.asp (pro záložní účely).
  3. Otevřete soubor Root.asp pro úpravy.
  4. Najděte řádek obsahující následující instrukce:
    if cint(days) < 0 then days = 10000
  5. Tento řádek změňte na následující:
    if cint(days) < 1 then days = 10000. Soubor uložte.
  6. Ukončete prohlížeč (klienta služby OWA).
  7. Znovu se přihlaste ke službě OWA.

Prohlášení

Společnost Microsoft potvrzuje, že tato chyba může určitým způsobem ohrozit zabezpečení serveru Internet Information Services 5.0 a Internet Information Server 4.0.

Další informace

Tato oprava také odstraňuje potíže popsané v následujícím článku znalostní báze Microsoft Knowledge Base:
297860 Zabezpečení serveru IIS 5.0 a přírůstková aktualizace serveru IIS 4.0 vydaná po vydání aktualizace Windows NT 4.0 SP5
Další informace o této chybě ohrožující zabezpečení serveru naleznete na následující webové stránce společnosti Microsoft:
http://www.microsoft.com/technet/security/bulletin/ms01-044.mspx
Další informace o získání opravy hotfix pro systém Windows 2000 Datacenter Server naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
265173 Program Datacenter a systém Windows 2000 Datacenter Server
Další informace o tom, jak nainstalovat více oprav hotfix s nutností pouze jednoho restartování počítače, naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:
296861 Použití programu QChain.exe k instalaci více oprav hotfix s nutností pouze jednoho restartování

Vlastnosti

ID článku: 301625 - Poslední aktualizace: 11. února 2014 - Revize: 2.3
Informace v tomto článku jsou určeny pro produkt:
  • Microsoft Internet Information Services 5.0
  • Microsoft Internet Information Server 4.0
Klíčová slova: 
kbnosurvey kbarchive kbbug kbfix kbwin2000presp3fix kbqfe kbwin2000sp3fix kbsecurity kbwinnt400presp7fix kbhotfixserver kbproductlink KB301625

Dejte nám zpětnou vazbu

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com