MS03-014: Cumulatieve patch voor Outlook Express (april 2003)

Microsoft heeft een cumulatieve patch uitgebracht voor Microsoft Outlook Express. Deze cumulatieve patch bevat updates voor de problemen die worden beschreven in het volgende artikel in de Microsoft Knowledge Base:

De patch die in dit artikel wordt beschreven, is van toepassing op de volgende versies van Microsoft Outlook Express:

• Microsoft Outlook Express 6.0 Service Pack 1, indien gebruikt met Internet Explorer 6.0 Service Pack 1 onder Microsoft Windows 98 Tweede editie, Microsoft Windows Millennium Edition, Microsoft Windows NT 4.0 Service Pack 6a, Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 Service Pack 3, Microsoft Windows XP (alleen 32-bits versies) en Microsoft Windows XP Service Pack 1 (32-bits of 64-bits versies).
• Microsoft Outlook Express 6.0, indien gebruikt met Internet Explorer 6.0 onder Windows XP (alleen 32-bits versies).
• Microsoft Outlook Express 5.5 Service Pack 2, indien gebruikt met Internet Explorer 5.5 Service Pack 2 onder Windows 98 Tweede editie, Windows Millennium Edition, Windows NT 4.0 Service Pack 6a, Windows 2000 Service Pack 2 en Windows 2000 Service Pack 3 of Internet Explorer 5.01 Service Pack 3 onder Windows 2000 Service Pack 3.

De patch die in dit artikel wordt beschreven, biedt bescherming tegen een zwakke plek in de MHTML URL-handler, aangezien met de MHTML URL-handler elk bestand dat als tekst kan worden weergegeven, kan worden geopend en weergegeven als deel van een pagina in Microsoft Internet Explorer. MHTML staat voor MIME Encapsulation of Aggregate HTML. MHTML is een internetstandaard waarop de MIME-structuur is gebaseerd, die wordt gebruikt voor het verzenden van HTML-inhoud in de tekst van e-mailberichten. De MHTML URL-handler in Windows maakt deel uit van Outlook Express en is voorzien van een URL-type dat op de lokale computer kan worden gebruikt. Met dit URL-type (MHTML://) kunnen MHTML-documenten worden geopend vanaf een opdrachtregel, vanuit Internet Explorer, via de het dialoogvenster Uitvoeren in het menu Start of met behulp van Windows Verkenner.

Vanwege deze zwakke plek in de MHTML URL-handler zou een Uniform Resource Locator (URL) kunnen worden gemaakt die verwijst naar een tekstbestand dat is opgeslagen op de lokale computer en zou dat bestand als HTML kunnen worden weergegeven. Als het tekstbestand script bevat, zou dat script worden uitgevoerd op het moment dat het bestand wordt geopend. Aangezien het bestand zich op de lokale computer bevindt, zou het worden weergegeven in de beveiligingszone van de lokale computer. Voor bestanden die worden geopend in de beveiligingszone van de lokale computer, gelden minder beperkingen dan voor bestanden die in andere beveiligingszones worden geopend.

Via deze methode zouden hackers of kwaadwillende personen kunnen proberen een URL te maken en deze op een website zetten of in een e-mailbericht verzenden. In het geval waarin de URL op een website is gezet en een gebruiker erop klikt, kan een hacker mogelijk de bestanden lezen of openen die al op de lokale computer staan. In het geval waarin de URL via een e-mailbericht is verzonden en de gebruiker werkt met Outlook Express 6.0 of Microsoft Outlook 2002 in de standaardconfiguratie, of met Microsoft Outlook 98 of Microsoft Outlook 2000 met de e-mailbeveiligingsupdate voor Outlook, kan een aanval niet automatisch plaatsvinden. Bovendien moet de gebruiker nog steeds eerst op de URL in het e-mailbericht klikken. Als de gebruiker echter geen gebruikmaakt van Outlook Express 6.0 of Outlook 2002 in de standaardconfiguratie, of Outlook 98 of Outlook 2000 in combinatie met de beveiligingsupdate voor e-mail van Outlook, kan er een aanval plaatsvinden die automatisch wordt uitgevoerd zonder dat de gebruiker op een URL in het e-mailbericht hoeft te klikken. In zowel het web- als het e-mailscenario geldt dat alle beperkingen op de bevoegdheden van de gebruiker tevens de mogelijkheden van het script van een hacker beperken.

Wanneer u de patch uitvoert die in het volgende Microsoft Knowledge Base-artikel wordt beschreven, kunt u verhinderen dat hackers bestanden op de computer van een gebruiker laden of parameters doorsturen naar uitvoerbare bestanden. Dit betekent dat een hacker alleen programma's kan starten die al aanwezig zijn op de computer (als de locatie van het programma bij de hacker bekend is) en niet de parameters kan doorsturen die nodig zijn om het programma uit te voeren.

MHTML is een standaard voor de uitwisseling van HTML-inhoud in e-mail. Daarom is de MHTML URL-handlerfunctie in Outlook Express geïmplementeerd. Internet Explorer kan ook MHTML-inhoud weergeven. De MHTML-functie is echter niet afzonderlijk geïmplementeerd in Internet Explorer. Voor het weergeven van de MHTML-inhoud wordt Outlook Express gebruikt.

Als u meer informatie wilt over deze patch, gaat u naar de volgende Microsoft-website:

Downloadgegevens

U kunt het volgende bestand downloaden van het Microsoft Downloadcentrum:
Het pakket 330994 nu downloaden. Releasedatum: 23 april 2003

Als u meer informatie wilt over het downloaden van Microsoft-ondersteuningsbestanden, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base: Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is opgeslagen op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen voorkomen.

Informatie over het service pack

U lost dit probleem op door het meest recente servicepack voor Microsoft Windows 2000 te installeren. Klik voor meer informatie op het volgende artikelnummer in de Microsoft Knowledge Base:

Informatie over hotfixes

Installatiegegevens

U moet zijn aangemeld als beheerder om de patch te kunnen installeren. U kunt controleren of de patch op uw computer is geïnstalleerd door de bestanden in de sectie 'Bestandsgegevens' van dit artikel te bekijken.

Vereisten

Outlook Express 6.0 Service Pack 1

Als u de Outlook Express 6.0 Service Pack 1-versie van deze patch wilt installeren, moet Microsoft Outlook Express 6.0 Service Pack 1 geïnstalleerd zijn op een computer met Microsoft Windows XP Service Pack 1 (32-bits of 64-bits versie).

Outlook Express 6.0

Als u de Outlook Express 6.0-versie van deze patch wilt installeren, moet Outlook Express 6.0 geïnstalleerd zijn op een computer met de 32-bits versie van Windows XP.

Outlook Express 5.5 Service Pack 2

Als u de Microsoft Outlook Express 5.5 Service Pack 2-versie van deze patch wilt installeren, moet Microsoft Outlook Express 5.5 Service Pack 2 geïnstalleerd zijn op een computer met Microsoft Windows 2000 Service Pack 3.
Voor meer informatie klikt u op de volgende artikelnummers in de Microsoft Knowledge Base:

Opnieuw opstarten vereist

Wanneer u de patches installeert die in dit artikel worden beschreven, hoeft u uw computer niet opnieuw op te starten wanneer aan de volgende voorwaarden is voldaan:

• U hebt Outlook Express afgesloten voordat u de patch installeert.
• Het dialoogvenster Info is niet open wanneer u de patch installeert.

Status van vorige update

Deze patch vervangt het Microsoft Security Bulletin MS02-058 voor Outlook Express en de cumulatieve update voor Outlook Express 6.0 SP1.

Setup-schakelopties

De updatepakketten voor deze patch ondersteunen de volgende schakelopties:

• /q - Uitvoeren in de stille modus (met andere woorden, prompts onderdrukken) wanneer bestanden worden uitgepakt.
• /q:u - Uitvoeren in stille modus voor gebruiker. Er worden enkele dialoogvensters voor de gebruiker weergegeven.
• /q:a - Uitvoeren in stille modus voor beheerder. Er worden geen dialoogvensters voor de gebruiker weergegeven.
• /t: pad - Het pad naar de map waarin de bestanden worden uitgepakt.
• /c - De bestanden worden uitgepakt, maar niet geïnstalleerd.
• /c: pad - Het pad en de naam van het INF-bestand of het EXE-bestand voor Setup.
• /r:n - De computer wordt na een installatie nooit opnieuw gestart.
• /r:i - De computer wordt opnieuw gestart als dit is vereist. De computer wordt opnieuw opgestart als dit nodig is om de installatie te voltooien.
• /r:a - De computer wordt na een installatie altijd opnieuw gestart.
• /r:s - De computer wordt na een installatie opnieuw gestart zonder bericht aan de gebruiker.
• /n:v - Geen versiecontrole. Het programma wordt over een vorige versie heen geïnstalleerd.

Als u de patch bijvoorbeeld zonder tussenkomst van de gebruiker wilt installeren, en wilt aangeven dat de computer niet opnieuw moet worden opgestart, gebruikt u de volgende opdrachtregel:

Bestandsgegevens

De Engelse versie van deze update heeft de bestandskenmerken die in de volgende tabel worden weergegeven (of recentere kenmerken). De datums en tijden voor deze bestanden worden weergegeven in UTC-notatie (Coordinated Universal Time). Wanneer u de bestandsinformatie weergeeft, wordt deze naar lokale tijd geconverteerd. Als u het verschil tussen UTC en lokale tijd wilt bepalen, gebruikt u het tabblad Tijdzone van de optie Datum en tijd in het Configuratiescherm.

Internet Explorer 6 SP1 (32-bits versie)

Internet Explorer 6 SP1 (64-bits versie)

Internet Explorer 6

Internet Explorer 5.5 SP2

Opmerking Deze patch bevat geen bestandsafhankelijkheden.

Verwijderen

U kunt deze patch verwijderen met het onderdeel Software in het Configuratiescherm. Klik op Outlook Express Update Q330994 en op Wijzigen/Verwijderen (of op Toevoegen/Verwijderen).