文章編號: 896358 - 上次校閱: 2007年3月29日 - 版次: 6.2

MS05-026：HTML 說明的弱點可能會導致遠端程式碼執行

檢視此文章適用的產品。
系統提示本文適用於您使用的作業系統之外的作業系統。與您不相關的文章內容已停用。

在此頁中

全部展開 | 全部摺疊

結論

Microsoft 已經發行資訊安全佈告欄 MS05-026，以提供安全性更新的所有相關資訊，其中還包含了檔案資訊清單和部署選項。如果要檢視完整的資訊安全佈告欄，請造訪下列 Microsoft 網站：
回此頁最上方

已知問題

  • 在您安裝安全性更新 896358 之後，特定種類的網頁應用程式可能無法正確運作。例如，HTML 說明的目錄可能不再運作。另外，特定的 HTML 說明功能，例如「相關主題」功能可能在 .chm 檔案於遠端位置開啟時無法運作。 如需有關這個問題的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
    892675? (http://support.microsoft.com/kb/892675/ ) 在您安裝安全性更新 896358 或 890175 之後，某些網站和 HTML 說明功能可能無法運作
  • 安裝安全性更新 896358 之後，某些網頁應用程式的功能不再正常運作。例如，在您按一下連結後，主題可能不會出現。同時，當您嘗試使用「通用命名慣例」(UNC) 路徑開啟網路共用資料夾上的 .chm 檔，.chm 檔中的主題可能無法顯示。 如需有關這個問題的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
    896054? (http://support.microsoft.com/kb/896054/ ) 在安裝安全性更新 896358、840315 或 Windows Server 2003 Service Pack 1 之後，無法使用 InfoTech 通訊協定開啟遠端內容
  • 在您安裝安全性更新 896358 之後，使用 HTML 說明 ActiveX 控制項 (HHCTRL) 來啟動跨框架瀏覽功能的網頁應用程式，可能無法運作。 如需有關這個問題的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
    896905? (http://support.microsoft.com/kb/896905/ ) 安裝安全性更新 896358 之後，應該顯示在不同框架的內容卻顯示在含有 HTML Help ActiveX 控制項的框架中
  • 安裝安全性更新 896358 之後，如果您要從 Internet Explorer 的超連結開啟 HTML 說明，可能會發生問題。 如需有關這個問題的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
    902225? (http://support.microsoft.com/kb/902225/ ) 在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後，您無法從 Internet Explorer 開啟 HTML 說明檔
  • 安裝安全性更新 896358 之後，HTML 說明 ActiveX 控制項將無法再接受參數中特定種類的 URL。 如需有關這個問題的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
    905215? (http://support.microsoft.com/kb/905215/ ) 安裝安全性更新 896358 之後，當您在應用 HTML 說明 ActiveX 控制項參數中使用 URL 結構描述時，系統會忽略有些 URL 結構描述
如需有關 Windows Server 2003 最新版 Service Pack 的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
889100? (http://support.microsoft.com/kb/889100/ ) 如何取得 Windows Server 2003 的最新版 Service Pack
回此頁最上方

可以嘗試的方案

安全性更新 896358 中 HTML 說明的變更

警告 本文提供有關如何暫時略過因安全性更新 896358 的部署所引起的問題。不過，Microsoft 不特別建議哪個登錄機碼和登錄值適合您的組織。使用這些因應措施時，如何在迴避風險的同時仍能善用其優勢，您的 IT 部門將是這項任務的不二人選。最安全的做法，就是不要使用登錄因應措施。

下列是更新 896358 會如何影響網頁應用程式的簡短說明。
摺疊此表格展開此表格
問題安裝安全性更新 896358 之前的情況安裝安全性更新 896358 之後的情況包含更多資訊和因應措施的「Microsoft 知識庫」文件
InfoTech 通訊協定已遭封鎖，無法存取遠端內容InfoTech 通訊協定可顯示遠端內容 (Windows Server 2003 Service Pack 1 (SP1) 已封鎖的除外)。所有作業系統已遭封鎖，無法使用 InfoTech 通訊協定顯示遠端內容。
896054? (http://support.microsoft.com/kb/896054/ ) 在安裝安全性更新 896358、840315 或 Windows Server 2003 Service Pack 1 之後，無法使用 InfoTech 通訊協定開啟遠端內容
HTML 說明 ActiveX 控制項於遠端內容的使用已被封鎖安全性更新 890175 已經封鎖 HTML 說明 ActiveX 控制項在應用程式遠端內容 (HTML 說明除外) 的使用。例如，Internet Explorer 已經封鎖該控制項。HTML 說明 ActiveX 控制項已經於 HTML 說明應用程式中被封鎖。
892675? (http://support.microsoft.com/kb/892675/ ) 在您安裝安全性更新 896358 或 890175 之後，某些網站和 HTML 說明功能可能無法運作
已經封鎖 HTML 說明 ActiveX 控制項在其他框架中顯示內容的功能。安全性更新 890175 已經封鎖 HTML 說明 ActiveX 控制項在應用程式遠端內容 (HTML 說明除外) 的使用。例如，Internet Explorer 已經封鎖該控制項。使用 HTML 說明 ActiveX 控制項，以啟用跨框架瀏覽的網頁應用程式將無法正常運作。應該顯示在不同框架的內容，會在包含 HTML 說明 ActiveX 控制項的框架中出現。
896905? (http://support.microsoft.com/kb/896905/ ) 安裝安全性更新 896358 之後，應該顯示在不同框架的內容卻顯示在含有 HTML Help ActiveX 控制項的框架中
無法從 Internet Explorer 開啟 .chm 檔沒問題。當您使用 Internet Explorer 開啟 .chm 檔，無法顯示主題。

使用 Internet Explorer 儲存 .chm 檔之後，由於「附件管理員」保護的緣故，有些使用者在開啟檔案時，可能會發生問題。
902225? (http://support.microsoft.com/kb/902225/ ) 在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後，您無法從 Internet Explorer 開啟 HTML 說明檔
當您在應用 HTML 說明 ActiveX 控制項參數中使用 URL 結構描述時，系統會忽略有些 URL 結構描述。HTML 說明 ActiveX 控制項參數中會允許任何結構描述。HTML 說明 ActiveX 控制項會略過下列項目以外的所有結構描述：file、http、https、ftp、its、 ms-its、mk:@msitstore、Hcp。
905215? (http://support.microsoft.com/kb/905215/ ) 安裝安全性更新 896358 之後，當您在應用 HTML 說明 ActiveX 控制項參數中使用 URL 結構描述時，系統會忽略有些 URL 結構描述
回此頁最上方

安全性更新 896358 中暫時略過應用程式相容性問題的方法

安全性更新 896358 支援的一些登錄機碼和登錄值，都可暫時略過應用程式相容性問題。使用這些問題可協助您判斷要進行哪些登錄的變更：
  • 您的組織需要被文中描述的變更所影響的應用程式或案例嗎？
    • 變更影響了多少應用程式？這些應用程式有多重要？
    • 變更所引致的異常有多嚴重？
    • 您可以修改程式，讓它們不必使用 HTML 說明的功能嗎？例如，您的員工可不可以下載.chm 檔案，而非直接從檔案共用執行？網頁應用程式可不可以使用 DHTML 目錄代替 HTML 說明 ActiveX 控制項？
  • 您組織的安全性需求和功能為何？
    • 哪一項比較重要？是您所使用的 HTML 說明功能，還是確定您的安全性夠強？
    • 您考慮過啟用如下列範例所述，在內部網路中使用的 HTML 說明檔技術嗎？如果是，外部安全性措施 (例如企業防火牆) 是否能給您足夠的信心來執行這個做法？您信任您的員工，所以並不擔心組織裡的系統可能會用來互相攻擊嗎？

使用安全性更新 896358 的範例

Warning 最安全的做法，就是不要使用登錄因應措施。如果您必須使用登錄因應措施，請以最保守的方法來進行設定。例如，請使用下列的方法：
  • 請不要使用 MaxAllowedZone 登錄項目，而改用 UrlAllowList 登錄項目。將 UrlAllowList 設定為儘可能啟用少數的網站。
  • 如果您必須使用 MaxAllowedZone 登錄項目，請最好不要將 MaxAllowedZone 設定高過必須值。如果將 MaxAllowedZone 設為 3 或更高，您的系統將暴露於網際網路的攻擊中。
在您蒐集了組織使用 HTML 說明的資訊之後，檢閱下列的範例，看看是否能幫助您在組織裡應用安全性更新 896358 的同時，建立一套可用的策略。

保守做法的範例

如果下列陳述式適用於您的組織，採取保守的做法可能行得通：
  • 沒有使用 HTML 說明技術的已知網頁應用程式。
  • 讓安全性夠強，比讓 HTML 說明在應用程式和案例裡正常運作都來得重要。
  • 您擁有使用 HTML 說明技術的網頁應用程式，但是這些應用程式的擁有者，能夠快速修改這些應用程式以使用其他技術。
  • 您知道或很快就能辨別出，任何需要 HTML 說明技術的應用程式和案例，所裝載的部署應用程式伺服器或檔案共用。而且，您也可以為這些應用程式伺服器和檔案共用提供足夠的保護。
  • 沒有人需要從遠端 (如檔案共用) 開啟 .chm 檔案。
下列方法是保守方法的其中一個範例：
  1. 套用安全性更新 896358。然後，使用「群組原則」物件來強制執行限制。

    根據預設，如果您在安裝安全性更新 896358 之後，沒有修改一或多個登錄項目，則安全性更新 896358 中的安全性防護功能限制會儘可能的設至最大。可是，您可以使用「群組原則」物件來防止個別使用者自行放寬限制。

    下列登錄檔案使安全性更新 896358 中的安全性緩和效果受限：
    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""
    如果您知道組織中並未使用需要 HTML 說明的網頁應用程式，並且組織中的使用者不需要存取遠端 .chm 檔案，您可以在此停止。
  2. 研究網頁應用程式使用 HTML 說明的方式。您可能已經從使用者那邊得知，某些內部網頁應用程式已經受到更新的影響。聯絡這些網頁應用程式的擁有者，並看看他們能否重新調整需要 HTML 說明技術的功能。如果網頁應用程式不需要 HTML 說明檔技術，則您現在可以停止操作。
  3. 選擇性啟用網頁應用程式。如果您發現某些網頁應用程式必須要能夠使用 HTML 說明功能，則您可以選擇性地重新啟用對裝載這些應用程式的伺服器的存取。下列的登錄檔案範例重新啟用特定網站的 HTML 說明 ActiveX 控制項和 InfoTech 通訊協定。此登錄檔案範例也會重新啟用 HTML 說明 ActiveX 控制項的跨框架瀏覽。
    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://contoso/salesapp/"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"="http://contoso/salesapp/"
    注意 使用者可能還是無法直接從網頁中的連結開啟 .chm 檔案。 如需有關這個問題和因應措施的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
    902225? (http://support.microsoft.com/kb/902225/ ) 在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後，您無法從 Internet Explorer 開啟 HTML 說明檔

不那麼保守的做法範例

如果下列一些陳述式適用於您的組織，採取這個做法可能行得通：
  • 您願意接受額外的風險，以避免讓安全性更新 896358 對您的應用程式造成不良的影響。
  • 您無法很快地辨別所有需要 HTML 說明檔技術的特定應用程式和案例。
  • 使用 HTML 說明檔技術的網頁應用程式，對您的業務而言非常重要。而且，您無法很快速地修改這些應用程式，以使用其他技術。
下列方法是較不保守方法的其中一個範例：
  1. 套用安全性更新 896358。然後，使用「群組原則」物件來強制執行限制。

    下列的登錄檔案範例，讓您內部網路裡的所有系統均可以使用 InfoTech 通訊協定，提供 HTML 說明 ActiveX 控制項和內容。此登錄檔案範例也會重新啟用 HTML 說明 ActiveX 控制項的跨框架瀏覽。
    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000001
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
"MaxAllowedZone"=dword:00000001
    注意 使用者可能還是無法直接從網頁中的連結開啟 .chm 檔案。 如需有關這個問題和因應措施的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
    902225? (http://support.microsoft.com/kb/902225/ ) 在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後，您無法從 Internet Explorer 開啟 HTML 說明檔
  2. 研究網頁應用程式使用 HTML 說明的方式。判斷哪個網頁應用程式需要 HTML 說明技術。聯絡這些網頁應用程式的擁有者，並看看他們能否重新調整需要 HTML 說明技術的功能。
  3. 根據研究調整 HTML 說明設定。如果根據您的研究判斷，網頁應用程式不再需要 HTML 說明技術，那麼您可以部署下列登錄檔案，以建立安全性更新 896358 所支援的最大限制：
    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""
    如果您發現某些網頁應用程式必須使用 HTML 說明功能，您可以限制使用此技術的系統。下列的登錄檔案範例，限制特定內部網路網站使用的 HTML 說明 ActiveX 控制項和 InfoTech 通訊協定。這個登錄檔案範例也會讓 HTML 說明 ActiveX 控制項繼續瀏覽整個框架。
    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

登錄項目

下表列出本文所述的 HTML 說明登錄項目。此表也列出您可以參閱以取得詳細資訊的「Microsoft 知識庫」文件。
摺疊此表格展開此表格
值Microsoft 知識庫文件
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\MaxAllowedZone
892675? (http://support.microsoft.com/kb/892675/ ) 在您安裝安全性更新 896358 或 890175 之後，某些網站和 HTML 說明功能可能無法運作
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\UrlAllowList
892675? (http://support.microsoft.com/kb/892675/ ) 在您安裝安全性更新 896358 或 890175 之後，某些網站和 HTML 說明功能可能無法運作
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\EnableFrameNavigationInSafeMode
896905? (http://support.microsoft.com/kb/896905/ ) 安裝安全性更新 896358 之後，應該顯示在不同框架的內容卻顯示在含有 HTML Help ActiveX 控制項的框架中
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\MaxAllowedZone
896054? (http://support.microsoft.com/kb/896054/ ) 在安裝安全性更新 896358、840315 或 Windows Server 2003 Service Pack 1 之後，無法使用 InfoTech 通訊協定開啟遠端內容
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\UrlAllowList
896054? (http://support.microsoft.com/kb/896054/ ) 在安裝安全性更新 896358、840315 或 Windows Server 2003 Service Pack 1 之後，無法使用 InfoTech 通訊協定開啟遠端內容
回此頁最上方

Internet Explorer 安全性區域

如需有關如何使用 Internet Explorer 中的安全性區域的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
174360? (http://support.microsoft.com/kb/174360/ ) 如何使用 Internet Explorer 中的安全性區域
回此頁最上方

群組原則

如需有關「群組原則」的詳細資訊，請造訪下列 Microsoft 網站： Microsoft 僅提供示範性的程式設計範例，不做任何明示或默示的保證。其中包括 (但不限於) 其適售性與適合某特定用途之默示擔保。本文將假設您已相當熟悉示範所使用的程式設計語言，以及用於建立和偵錯程序的工具。Microsoft 技術支援工程師可以協助說明特定程序的功能，但不會修改這些範例以提供附加功能或建構程序來滿足您的特定需求。
回此頁最上方

為 Microsoft Windows x64 版提供的技術支援

在執行 x64 版 Microsoft Windows 的電腦上，您可能必須遵循＜解決方案＞一節中有關如何修改登錄的指示。例如，您可能必須修改登錄的不同部分，而這將取決於您要修改的是 32 位元或 64 位元版本的功能。 如需詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
896459? (http://support.microsoft.com/kb/896459/ ) Windows Server 2003 x64 版本與 Windows XP Professional x64 Edition 中的登錄變更
您的硬體製造商會為 Windows x64 版提供技術支援和協助。由於 Windows x64 版是隨附在您的硬體中，因此，硬體製造商會提供相關的支援。硬體製造商可能已經利用特殊的元件自訂 Windows 的安裝。特殊的元件可能包括特定裝置驅動程式，或者包含可以使硬體發揮最大效能的選用設定。如果您需要有關 Windows x64 版的技術說明，Microsoft 將會在合理的情況下提供協助。不過，您可以直接與製造商連絡。在硬體上預先安裝軟體的人是硬體製造商，因此他們會是提供軟體技術支援服務的最佳人選。

如需有關 Microsoft Windows XP Professional x64 Edition 的產品資訊，請造訪下列 Microsoft 網站：
http://www.microsoft.com/taiwan/windowsxp/64bit/default.mspx (http://www.microsoft.com/taiwan/windowsxp/64bit/default.mspx)
如需有關 Microsoft Windows Server 2003 x64 版的產品資訊，請造訪下列 Microsoft 網站：
http://www.microsoft.com/taiwan/windowsserver2003/64bit/x64/default.mspx (http://www.microsoft.com/taiwan/windowsserver2003/64bit/x64/default.mspx)
回此頁最上方
這篇文章中的資訊適用於:
  • Microsoft Windows Server 2003 Service Pack 1?應用於:
    • Microsoft Windows Server 2003, Standard Edition (32-bit x86)
    • Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
    • Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
    • Microsoft Windows Server 2003, Web Edition
    • Microsoft Windows Server 2003, Enterprise Edition for Itanium-based Systems
    • Microsoft Windows Server 2003, Datacenter Edition for Itanium-Based Systems
  • Microsoft Windows Server 2003, Standard x64 Edition
  • Microsoft Windows Server 2003, Enterprise x64 Edition
  • Microsoft Windows Server 2003, Datacenter x64 Edition
  • Microsoft Windows XP for Itanium-based Systems Version 2003
  • Microsoft Windows XP Professional 64-Bit Edition (Itanium)
  • Microsoft Windows XP Professional x64 Edition
  • Microsoft Windows XP Service Pack 2
  • Microsoft Windows XP Service Pack 1
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Datacenter Server
  • Microsoft Windows 2000 Professional Edition
  • Microsoft Windows 2000 Service Pack 4
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Service Pack 3
  • Microsoft Windows 2000 Service Pack 3
  • Microsoft Windows 2000 Service Pack 3
  • Microsoft Windows Millennium Edition
  • Microsoft Windows 98 Second Edition
  • Microsoft Windows 98 Standard Edition
回此頁最上方
關鍵字：?
kbbug kbfix kbsecvulnerability kbqfe kbsecurity kbwinnt400presp7fix kbsecbulletin kbwinxppresp2fix kbpubtypekc kbwin2000presp5fix kbwinserv2003presp1fix kbhotfixserver kbwinserv2003sp2fix KB896358
回此頁最上方
Microsoft及(或)其供應商不就任何在本伺服器上發表的文字資料及其相關圖表資訊的恰當性作任何承諾。所有文字資料及其相關圖表均以「現狀」供應，不負任何擔保責任。Microsoft及(或)其供應商謹此聲明，不負任何對與此資訊有關之擔保責任，包括關於適售性、適用於某一特定用途、權利或不侵權的明示或默示擔保責任。Microsoft及(或)其供應商無論如何不對因或與使用本伺服器上資訊或與資訊的實行有關而引起的契約、過失或其他侵權行為之訴訟中的特別的、間接的、衍生性的損害或任何因使用而喪失所導致的之損害、資料或利潤負任何責任。