MS02-053:对 SmartHTML 解释器的请求可能会独占 Web 服务器 CPU 资源

文章翻译 文章翻译
文章编号: 324096 - 查看本文应用于的产品
本文已归档。它按“原样”提供,并且不再更新。
展开全部 | 关闭全部

本文内容

症状

SmartHTML 解释器 (Shtml.dll) 是 FrontPage Server Extensions 的一部分;它提供对 Web 窗体和其他基于 FrontPage 的动态内容的支持。该解释器有一个缺陷,当它处理对特殊 Web 文件类型的请求时,如果请求中包含某些其他特性,这个缺陷就会暴露出来。这类请求可能导致该解释器占用大部分或全部 CPU 可用资源,直到 Web 服务重新启动。攻击者可以利用此漏洞,对受影响的 Web 服务器发动拒绝服务攻击。

减轻影响的因素

  • 无法利用此漏洞在服务器上进行任何更广泛的操作。它不允许攻击者在服务器上执行添加、删除或修改数据的操作。
  • IIS 锁定工具,如果将它用于配置静态 Web 服务器,会关闭 SmartHTML 解释器。已使用此工具的服务器不受此漏洞影响。
  • 默认情况下,FrontPage Server Extensions 安装在 Microsoft Internet Information Server 4.0 以及 Microsoft Internet Information Services 5.0 和 5.1 上,但可以删除。已删除 Internet Information Server 或 Internet 信息服务的服务器不受此漏洞影响。

解决方案

FrontPage 2002 Server Extensions from Microsoft

有关安全更新的其他信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
329086 FP2002:FrontPage 2002 Server Extensions Security Update:2002 年 9 月 25 日
此修复程序的英文版具有下表中列出的文件属性(或更新的属性):
版本		文件名
------------------------
10.0.4219.0  Fp5awel.dll
				
Microsoft 还建议您安装 2002 年 1 月发布的 FrontPage 2002 Server Extensions 更新程序。有关此更新程序的其他信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
317296 FrontPage 2002 Server Extension 更新程序概述:2002 年 1 月 28 日

FrontPage 2000 Server Extensions from Microsoft

有关安全更新的其他信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
329085 FP2000:FrontPage 2000 Server Extensions 安全更新:2002 年 9 月 25 日
此修复程序的英文版具有下表中列出的文件属性(或更新的属性):
版本		文件名
------------------------
4.0.2.6426   Fp4awel.dll
				

Windows XP

Microsoft 现在提供了一个受支持的修复程序,但该程序只用于解决本文中介绍的问题。仅应当对确定存在遭受攻击风险的计算机应用此修补程序。请评估您的计算机的物理可访问性、网络和 Internet 连接及其他因素,以便确定您的计算机遭受的风险程度。请参阅相关的 Microsoft 安全公告 以帮助确定风险程度。此修复程序可能还需要接受其他一些测试。如果判定您的计算机有危险,Microsoft 建议您立即应用此修复程序。否则,可以等待包含此修复程序的下一版 Windows XP。

要立即解决此问题,请按照本文后面的说明下载此修复程序,或与“Microsoft 产品支持服务”联系以获取此修复程序。有关“Microsoft 产品支持服务”电话号码和支持费用信息的完整列表,请访问下面的 Microsoft Web 站点:
http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS
注意:特殊情况下,如果 Microsoft 支持人员确定某个特定的更新程序能够解决您的问题,可免收支持电话的费用。对于特定更新程序无法解决的其他支持问题和事项,将照常收取支持费用。

下载信息

从 Microsoft 下载中心可以下载以下文件:
英语(美国):
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

阿拉伯语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

中文(简体):
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

中文(繁体):
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

捷克语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

丹麦语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

荷兰语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

芬兰语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

法语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

德语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

希腊语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

希伯来语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

匈牙利语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

意大利语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

日语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

朝鲜语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

挪威语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

波兰语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

葡萄牙语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

葡萄牙语(巴西)
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

俄语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

西班牙语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

瑞典语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包

土耳其语:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包
发布日期:2002 年 9 月 25 日

有关如何下载 Microsoft 支持文件的其他信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
119591 如何从联机服务获取 Microsoft 支持文件
Microsoft 已对此文件进行了病毒扫描。Microsoft 使用的是此文件发布时可以获得的最新病毒检测软件。此文件存储在安全性已增强的服务器上,以防止在未经授权的情况下对其进行更改。

安装选项

应用此更新程序后,必须重新启动计算机。此更新程序支持以下安装选项:
  • -?:显示安装开关列表。
  • -u:无人值守模式。
  • -f:当计算机关闭时强制其他程序退出。
  • -n:不为删除备份文件。
  • -o:不给出提示即覆盖 OEM 文件。
  • -z:完成安装时不重新启动计算机。
  • -q:静默模式(无用户交互)。
  • -l:列出已安装的修复程序。
  • -x 解压缩文件但不运行安装程序。
例如,如果想在安装此更新程序时不需要任何用户干预并且不强迫计算机重新启动,请使用下面的命令:
Q324096_wxp_sp1_x86_enu -u -q -z
WARNING:只有重新启动计算机后,计算机才不容易受到攻击。

文件信息

此修复程序的英文版具有下表中列出的文件属性(或更新的属性)。这些文件的日期和时间按协调通用时间 (UTC) 列出。当您查看文件信息时,该时间将转换为本地时间。要了解 UTC 与本地时间之间的时差,请使用“控制面板”中的“日期和时间”工具中的时区选项卡。
日期		时间		版本		大小       文件名
--------------------------------------------------------------------
22-Jun-2002	10:37PM		10.0.4219.0	1382984  Fp5awel.dll
				
注意:由于存在文件依赖性,此更新程序中可能还包括其他一些文件。


Windows 2000 Service Pack 信息

对于运行 FrontPage 2000 Server Extensions 的系统,此安全修补程序的 Windows 2000 版本包含在 Windows 2000 Service Pack 4 (SP4) 中。如果您使用的是任何其他版本的 FrontPage Server Extensions,必须为 MS02-053 单独安装此修补程序。 要解决此问题,请获取最新的 Microsoft Windows 2000 Service Pack。有关其他信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
260910 如何获取最新的 Windows 2000 Service Pack

Windows 2000 修复程序信息

Microsoft 现在提供了一个受支持的修复程序,但该程序只用于解决本文中介绍的问题。仅应当对确定存在遭受攻击风险的计算机应用此修补程序。请评估您的计算机的物理可访问性、网络和 Internet 连接及其他因素,以便确定您的计算机遭受的风险程度。请参阅相关的 Microsoft 安全公告 以帮助确定风险程度。此修复程序可能还需要接受其他一些测试。如果判定您的计算机有危险,Microsoft 建议您立即应用此修复程序。否则,可以等待包含此修复程序的下一版 Windows 2000。

要立即解决此问题,请按照本文后面的说明下载此修复程序,或与“Microsoft 产品支持服务”联系以获取此修复程序。有关“Microsoft 产品支持服务”电话号码和支持费用信息的完整列表,请访问下面的 Microsoft Web 站点:
http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS
注意:特殊情况下,如果 Microsoft 支持人员确定某个特定的更新程序能够解决您的问题,可免收支持电话的费用。对于特定的更新程序无法解决的其他支持问题和事项,将正常收取支持费用。

下载信息

从 Microsoft 下载中心可以下载以下文件:
收起这个图片展开这个图片
下载
立即下载 Q324096 软件包
发布日期:2002 年 9 月 25 日

有关如何下载 Microsoft 支持文件的其他信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
119591 如何从联机服务获取 Microsoft 支持文件
Microsoft 已对此文件进行了病毒扫描。Microsoft 使用的是此文件发布时可以获得的最新病毒检测软件。此文件存储在安全性已增强的服务器上,以防止在未经授权的情况下对其进行更改。

安装选项

应用此更新程序后,必须重新启动计算机。此更新程序支持以下安装选项:
  • -?:显示安装开关列表。
  • -u:无人值守模式。
  • -f:当计算机关闭时强制其他程序退出。
  • -n:不为删除备份文件。
  • -o:不给出提示即覆盖 OEM 文件。
  • -z:完成安装时不重新启动计算机。
  • -q:静默模式(无用户交互)。
  • -l:列出已安装的修复程序。
  • -x 解压缩文件但不运行安装程序。
例如,如果想在安装此更新程序时不需要任何用户干预并且不强迫计算机重新启动,请使用下面的命令:
q318138_w2k_sp3_x86_en /q /m /z
WARNING:只有重新启动计算机后,计算机才不容易受到攻击。

文件信息

此修复程序的英文版具有下表中列出的文件属性(或更新的属性)。这些文件的日期和时间按协调通用时间 (UTC) 列出。当您查看文件信息时,该时间将转换为本地时间。要了解 UTC 与本地时间之间的时差,请使用“控制面板”中的“日期和时间”工具中的时区选项卡。
日期		时间		版本		大小	文件名和路径
------------------------------------------------------------------------
27-Apr-2002	12:34PM		4.0.2.6426	872557	???\fp4awel.dll
					
注意:由于存在文件依赖性,此更新程序中可能还包括其他一些文件。此更新程序需要 Windows 2000Service Pack 2 (SP2)Service Pack 1 (SP1).

状态

Microsoft 已经证实此问题可能导致本文开头列出的 Microsoft 产品中存在某种程度的安全漏洞。 此问题最早是由 Microsoft Windows 2000 Service Pack 4 解决的。

更多信息

有关此漏洞的更多信息,请访问下面的 Microsoft Web 站点:
http://www.microsoft.com/technet/security/bulletin/MS02-053.asp

属性

文章编号: 324096 - 最后修改: 2014年2月24日 - 修订: 4.1
这篇文章中的信息适用于:
  • Microsoft Windows 2000 Service Pack 1
  • Microsoft Windows 2000 Service Pack 3
  • Microsoft Windows 2000 Service Pack 2
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Service Pack 1
  • Microsoft Windows 2000 Service Pack 2
  • Microsoft Windows 2000 Service Pack 3
  • Microsoft FrontPage 2002 Server Extensions
  • Microsoft FrontPage 2000 服务器扩展
  • Microsoft Windows XP Home Edition
  • Microsoft Windows XP Professional Edition
关键字:?
kbnosurvey kbarchive kbbug kbfix kbwin2000presp4fix kbsecvulnerability kbsysadmin kbsecurity kbwinxpsp2fix kbsecbulletin kbsechack kbwinxppresp2fix kbwin2ksp4fix KB324096
Microsoft和/或其各供应商对于为任何目的而在本服务器上发布的文件及有关图形所含信息的适用性,不作任何声明。 所有该等文件及有关图形均"依样"提供,而不带任何性质的保证。Microsoft和/或其各供应商特此声明,对所有与该等信息有关的保证和条件不负任何责任,该等保证和条件包括关于适销性、符合特定用途、所有权和非侵权的所有默示保证和条件。在任何情况下,在由于使用或运行本服务器上的信息所引起的或与该等使用或运行有关的诉讼中,Microsoft和/或其各供应商就因丧失使用、数据或利润所导致的任何特别的、间接的、衍生性的损害或任何因使用而丧失所导致的之损害、数据或利润不负任何责任。

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com