MS03-022:Windows Media Services 中 ISAPI 擴充程式的瑕疵可能會導致程式碼執行

文章翻譯 文章翻譯
文章編號: 822343 - 檢視此文章適用的產品。
本文已封存。本文係以「現狀」提供且不會再更新。

技術更新

  • 2004 年 3 月 9 日:已更新的<安裝資訊>一節,說明提供了一些參數可以與重新發行的安全性更新搭配使用。 在此更新發行之後,Microsoft 發現在某些情況下,此公告原先提供的更新無法取代硬碟上具有弱點的檔案。無論您是否在套用更新之前,先移除 Windows Media Services 都可能會發生這種情形。Microsoft 已經解決這個問題,並且在「Microsoft 下載中心」的 Windows Update 中重新發行更新。
  • 2004 年 3 月 9 日:已更新<安裝資訊>一節。
  • 2004 年 3 月 9 日:已更新<檔案資訊>一節。
  • 2003 年 6 月 26 日:已更新<先決條件>一節,指出補充程式可以安裝在 Windows 2000 Service Pack 2、Windows 2000 Service Pack 3 或 Windows 2000 Service Pack 4。
  • 2003 年 6 月 26 日:已更新<檔案資訊>一節。
全部展開 | 全部摺疊

在此頁中

徵狀

Microsoft Windows Media Services 是 Microsoft Windows 2000 Server、Microsoft Windows 2000 Advanced Server 和 Microsoft Windows 2000 Datacenter Server 中的功能,Microsoft Windows NT 4.0 Server 也可以下載取得 Windows Media Services。Windows Media Services 為需要透過網路將媒體內容傳遞至用戶端的方法提供支援,此方法一般稱為多點傳播資料流。在多點傳播資料流中,伺服器並未連線至接收媒體內容資料流的用戶端,也沒有用戶端的資訊。

為了使伺服器更容易記錄用戶端的資訊,Windows 2000 包含了特別設計的功能,可以為多點傳播啟用記錄。此記錄功能會做為 Internet Services Application Programming Interface (ISAPI) 擴充程式,名稱為 Nsiislog.dll。當 Windows Media Services 透過「新增/移除程式」公用程式新增至 Windows 2000 時,Nsiislog.dll 會安裝在伺服器的 Internet Information Services (IIS) Scripts 資料夾中。在安裝 Windows Media Services 之後,IIS 便會自動載入並使用 Nsiislog.dll。

Nsiislog.dll 在處理連入的用戶端要求時所採用的方法存有瑕疵。由於攻擊者可以傳送經過特別製作的 HTTP 要求 (就是通訊) 到伺候器,而這些 HTTP 要求會造成 IIS 當機,或是在使用者的系統上執行程式碼,因而出現弱點。

依據預設,Windows Media Services 並不會安裝在 Windows 2000 中。想利用此弱點的攻擊者必須找出網路上已安裝 Windows Media Services 的電腦,並且必須將特定要求傳送至該伺服器。

Windows Media Services 不適用於 Windows 2000 Professional。

解決方案

安全性更新資訊

下載資訊

您可以從「Microsoft 下載中心」下載下列檔案:
摺疊此圖像展開此圖像
下載
立即下載 822343 套件。
發行日期:2003 年 6 月 25 日

如需有關如何下載 Microsoft 技術支援檔案的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
119591 如何從線上服務取得 Microsoft 支援檔案
Microsoft 已對這個檔案進行過病毒掃描。Microsoft 是利用發佈當日的最新病毒偵測軟體來掃描檔案,看看有沒有病毒感染。檔案會儲存在安全的伺服器上,以避免任何未經授權的更改。

先決條件

此安全性更新必須安裝在執行 Windows 2000 Service Pack 2 (SP2)、Windows 2000 Service Pack 3 (SP3) 或 Windows 2000 Service Pack 4 (SP4) 的系統上。 如需有關 Windows 2000 Service Pack 的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
260910 如何取得最新版的 Windows 2000 Service Pack
注意 Microsoft Windows Media Services 4.1 會隨附於 Windows 2000 Server Service Pack 2 (SP2) 和之後的版本中。

安裝資訊

此安全性更新支援下列安裝參數:
  • /help:顯示命令行選項。
  • /quiet:使用無訊息模式 (沒有使用者互動)。
  • /passive:自動模式 (只會顯示進度列)。
  • /uninstall:解除安裝套件。
  • /norestart:安裝完成時,不要重新開機。
  • /forcerestart:安裝完成後,重新啟動電腦。
  • /l:列出已安裝的 Hotfix 或軟體更新。
  • /o:直接覆寫 OEM 檔案,不需提示。
  • /n:解除安裝時不備份檔案。
  • /f:當電腦關機時,強制其他程式結束。
如果要檢查電腦上是否已安裝安全性更新,請確認下列登錄機碼是否存在:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Media Services\wm822343

部署資訊

如果要在沒有任何使用者互動的情況下安裝安全性更新,請在命令提示中輸入下列命令:
WindowsMedia41-KB822343-x86-CHT /quiet
如需有關如何使用 Microsoft 軟體更新服務部署此安全性更新的詳細資訊,請造訪下列 Microsoft 網站:
http://www.microsoft.com/windowsserversystem/updateservices/evaluation/previous/susoverview.mspx

重新啟動需求

套用此安全性更新之後,不必重新啟動電腦。

移除資訊

您無法移除此安全性更新,因為安裝程式技術不允許移除作業,而且 Windows 2000 中沒有系統等級的復原功能。

安全性更新取代資訊

此安全性更新會取代 817772 安全性更新。 如需有關這個安全性更新的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
817772 MS03-019:Windows Media Services 的 ISAPI 擴充程式中的瑕疵可能導致拒絕服務

檔案資訊

此 Hotfix 的英文版具有下列表格中所列之檔案屬性 (或更新)。這些檔案的日期和時間是以 Coordinated Universal Time (UTC) 表示。當您檢視檔案資訊時,它會轉換為當地時間。如果要查看 UTC 與當地時間的差異,請使用 [控制台] 中 [日期和時間] 工具的 [時區] 索引標籤。
摺疊此表格展開此表格
日期時間版本大小檔名
02-Mar-200400:2624,576Custdll.dll
29-May-200321:254.1.0.393216,784Nsiislog.dll
03-Jun-200315:476.0.2600.0143,872Nsisapi.exe

狀況說明

Microsoft 已確認這項問題將在本文開頭所列之 Microsoft 產品中造成一定程度的安全性弱點。

其他相關資訊

如需有關這項弱點的詳細資訊,請造訪下列 Microsoft 網站:
http://www.microsoft.com/taiwan/security/bulletins/MS03-022.asp

屬性

文章編號: 822343 - 上次校閱: 2013年10月26日 - 版次: 5.0
這篇文章中的資訊適用於:
  • Microsoft Windows Media Services 4.1
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Datacenter Server
  • Microsoft Windows 2000 Server
關鍵字:?
kbnosurvey kbarchive kbwin2000presp5fix kbsecvulnerability kbsecurity kbsecbulletin kbqfe kbfix kbbug KB822343
Microsoft及(或)其供應商不就任何在本伺服器上發表的文字資料及其相關圖表資訊的恰當性作任何承諾。所有文字資料及其相關圖表均以「現狀」供應,不負任何擔保責任。Microsoft及(或)其供應商謹此聲明,不負任何對與此資訊有關之擔保責任,包括關於適售性、適用於某一特定用途、權利或不侵權的明示或默示擔保責任。Microsoft及(或)其供應商無論如何不對因或與使用本伺服器上資訊或與資訊的實行有關而引起的契約、過失或其他侵權行為之訴訟中的特別的、間接的、衍生性的損害或任何因使用而喪失所導致的之損害、資料或利潤負任何責任。

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com