MS02-052: Microsoft VM JDBC Sınıflarındaki Kusur Kod Çalıştırılmasına İzin Verebilir

Makale çevirileri Makale çevirileri
Makale numarası: 329077 - Bu makalenin geçerli olduğu ürünleri görün.
Hepsini aç | Hepsini kapa

Belirtiler

Microsoft sanal makinesi (VM), Microsoft Windows'un 32 bit sürümlerinde kullanılan bir sanal makinedir. Microsoft VM, çoğu Windows ve Microsoft Internet Explorer sürümünün bir parçası olarak gelir. Microsoft VM için yeni bir düzeltme eki hazırlanmıştır. Bu düzeltme eki üç güvenlik açığını giderir. Tüm güvenlik açıklarının saldırı vektörü hemen hemen aynıdır. Saldırgan bu güvenlik açıklarından yararlanmak için, bir Web sayfası oluşturup bu Web sayfasını bir sunucuda barındırabilir veya e-posta iletisi olarak gönderebilir.

İlk güvenlik açığı, Java programlarının çok çeşitli veri kaynaklarına bağlanabilmesine ve bu kaynaklardaki verileri kullanabilmesine olanak veren özellikleri sağlayan Java Database Connectivity (JDBC) sınıflarıyla ilgilidir. Bu kaynaklar, düz dosyalardan Microsoft SQL Server veritabanlarına kadar çeşitlilik gösterir. Güvenlik açığı, sınıfların kullanıcı bilgisayarında bir DLL dosyası yükleme ve dosyayı çalıştırma isteklerini alma biçimindeki kusur nedeniyle oluşur. Sınıflar, yalnızca yetkili programların bu tür istekler yapabilmesini sağlamak üzere tasarlanmış denetimler gerçekleştirmesine karşın, bu denetim, isteği bilerek hatalı biçimlendirmek yoluyla "yanıltılabilir". Bu da saldırganın kullanıcı bilgisayarında herhangi bir DLL yüklemesine ve çalıştırmasına olanak sağlar.

İkinci güvenlik açığı da JDBC sınıflarıyla ilgilidir ve sınıflardaki bazı işlevlerin giriş olarak sağlanan tanıtıcıları düzgün doğrulamaması nedeniyle oluşur. Bu kusurun doğrudan kullanımlarından biri, bu tür bir işlevi çağırırken tanıtıcı yerine geçerli olmayan verilerin sağlanmasıdır. Microsoft, bu senaryonun Internet Explorer'ın yanıt vermemesine neden olabileceğini onaylamıştır. Kusur, saldırganın kullanıcının güvenlik kapsamında kod çalıştırmasına neden olan veriler sağlayabilmesine de izin verebilir.

Üçüncü güvenlik açığı, Java programları tarafından XML kullanılması için destek sağlayan bir sınıf ile ilgilidir. Bu sınıf birkaç yöntem kullanımı sağlar. Bu yöntemlerden bazıları tüm programlarla kullanılabilir, ancak bazıları yalnızca güvenilen programlarla kullanılmaya uygundur. Ancak sınıf, bu iki durumu doğru şekilde birbirinden ayırmaz ve tüm yöntemlerin tüm programlar tarafından kullanılabilmesine izin verir. Bu güvenlik açığı sayesinde kötü amaçla kullanılabilen işlevler arasında, bir programın kullanıcı bilgisayarında hemen her türlü eylemi gerçekleştirmesine izin veren işlevler de bulunmaktadır.

Çözüm

Bu sorunu gidermek için, aşağıdaki Microsoft Knowledge Base makalesinde anlatılan düzeltme ekini yükleyin:
810030 MS02-069: Microsoft VM'deki Kusur Windows Güvenliğinin Aşılmasına Neden Olabilir (Bu bağlantı, bir kısmı veya tamamı İngilizce olan içeriğe işaret edebilir.)
Güvenlik güncelleştirmesi 329077'nin yerini 810030 güncelleştirmesi almıştır.

Bu güncelleştirme kayıt defterinde aşağıdaki değişiklikleri yapar:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{DBB3C81D-3C91-4a1e-BDDF-905B61C7CEDF}
="Microsoft VM için Güvenlik Güncelleştirmesi"
"ComponentID"="JAVAVM"
"IsInstalled"=hex:01,00,00,00
"KeyFileName"="C:\\WINDOWS\\System32\\msjava.dll"
"Version"="5,00,3807,0"
NOT: Jview'de görüntülenen sürüm numarası ne olursa olsun, bu düzeltmenin doğru yüklemesi için belirleyici etken yukarıda anlatılan kayıt defteri anahtarı olmalıdır. Bu düzeltme eki yüklendikten sonra, Msjava.dll dosyasının sürümü 5.00.3805.0000 olarak kalır.

Bu düzeltmenin İngilizce sürümü, aşağıdaki tabloda listelenen dosya özniteliklerine (veya daha yenisi) sahiptir. Bu dosyalarla ilgili tarihler ve saatler UTC (eşgüdümlü evrensel saat) kullanılarak listelenmiştir. Dosya bilgilerini görüntülediğinizde yerel saate dönüştürülür. UTC ve yerel saat arasındaki farkı bulmak için, Denetim Masası'ndaki Tarih ve Saat aracında Saat Dilimi sekmesini kullanın.
   Tarih         Saat    Boyut     Dosya adı
   ------------------------------------------
   18 Şub 2002   07:38     2.678   Msjdbc.cer
   21 Ağu 2002   17:28   137.282   Msjdbc.zip
   16 Ağu 2002   09:57    10.957   Osp.zip
				
Bu dosyalar %Windir%\Java\Classes klasörüne yerleştirilir. Sıkıştırılmış .zip dosyaları aşağıdaki Java sınıflarını içerir:
   21 Ağu 2002   17:28    24.824   Jdbcodbc.class
   21 Ağu 2002   17:28       800   Jdbcodbcboundcol.class
   21 Ağu 2002   17:28     1.119   Jdbcodbcboundparam.class
   21 Ağu 2002   17:28       848   Jdbcodbcbusyflag.class
   21 Ağu 2002   17:28     5.193   Jdbcodbccallablestatement.class
   21 Ağu 2002   17:28     8.347   Jdbcodbcconnection.class
   21 Ağu 2002   17:28       447   Jdbcodbcconnectioninterface.class
   21 Ağu 2002   17:28    28.036   Jdbcodbcdatabasemetadata.class
   21 Ağu 2002   17:28       710   Jdbcodbcdecimal.class
   21 Ağu 2002   17:28     6.096   Jdbcodbcdriver.class
   21 Ağu 2002   17:28       308   Jdbcodbcdriverattribute.class
   21 Ağu 2002   17:28       415   Jdbcodbcdriverinterface.class
   21 Ağu 2002   17:28     2.990   Jdbcodbcinputstream.class
   21 Ağu 2002   17:28       611   Jdbcodbclimits.class
   21 Ağu 2002   17:28     2.339   Jdbcodbcobject.class
   21 Ağu 2002   17:28     8.063   Jdbcodbcpreparedstatement.class
   21 Ağu 2002   17:28       912   Jdbcodbcpseudocol.class
   21 Ağu 2002   17:28    12.865   Jdbcodbcresultset.class
   21 Ağu 2002   17:28       615   Jdbcodbcresultsetinterface.class
   21 Ağu 2002   17:28     5.503   Jdbcodbcresultsetmetadata.class
   21 Ağu 2002   17:28       523   Jdbcodbcsqlwarning.class
   21 Ağu 2002   17:28     6.116   Jdbcodbcstatement.class
   21 Ağu 2002   17:28     1.451   Jdbcodbctimestamp.class
   21 Ağu 2002   17:28       566   Jdbcodbctypeinfo.class
   21 Ağu 2002   17:28    13.595   Odbcdef.class
   28 Tem 1997   13:15       247   Accessdeniedexception.class
   28 Tem 1997   13:15       243   Conversionexception.class
   28 Tem 1997   13:15     1.033   Datasource.class
   28 Tem 1997   13:15       746   Datasourcelistener.class
   28 Tem 1997   13:15       253   Illegalargumentexception.class
   28 Tem 1997   13:15       251   Notimplementedexception.class
   28 Tem 1997   13:15     1.736   Oledbsimpleprovider.class
   28 Tem 1997   13:15     1.123   Oledbsimpleproviderlistener.class
   28 Tem 1997   13:15       384   Ospcomp.class
   28 Tem 1997   13:15       261   Ospexception.class
   28 Tem 1997   13:15       264   Ospfind.class
   28 Tem 1997   13:15       304   Ospformat.class
   28 Tem 1997   13:15       912   Ospmrshl.class
   28 Tem 1997   13:15       286   Osprw.class
   28 Tem 1997   13:15       260   Ospxfer.class
   28 Tem 1997   13:15       368   __MIDL___MIDL_ITF_SIMPDATA_0000_0001.CLASS
				

Durum

Microsoft, bu sorunun Microsoft VM'de bir ölçüde güvenlik açığına neden olabileceğini onaylamıştır.

Daha fazla bilgi

Bu güvenlik açığı hakkında daha fazla bilgi için aşağıdaki Microsoft Web sitelerini ziyaret edin:
http://www.microsoft.com/technet/security/bulletin/MS02-052.asp
http://support.microsoft.com/default.aspx?scid=fh;TR;secbulletins&ln=tr

Özellikler

Makale numarası: 329077 - Last Review: 4 Ekim 2004 Pazartesi - Gözden geçirme: 8.2
Bu makaledeki bilginin uygulandığı durum:
  • Java için Microsoft Sanal Makinesi
  • Java için Microsoft Sanal Makinesi, Ne zaman ne ile kullanilir:
    • Microsoft Windows Millennium Edition
    • Microsoft Windows 2000 Standard Edition
    • Microsoft Windows NT 4.0
    • Microsoft Windows 98 Second Edition
    • Microsoft Windows 98 Standard Edition
Anahtar Kelimeler: 
kbbug kbfix kbsecvulnerability kbsecurity kbsecbulletin KB329077

Geri Bildirim Ver

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com