MS05-026:HTML 說明的弱點可能會導致遠端程式碼執行

文章翻譯 文章翻譯
文章編號: 896358 - 檢視此文章適用的產品。
全部展開 | 全部摺疊

在此頁中

結論

Microsoft 已經發行資訊安全佈告欄 MS05-026,以提供安全性更新的所有相關資訊,其中還包含了檔案資訊清單和部署選項。如果要檢視完整的資訊安全佈告欄,請造訪下列 Microsoft 網站:

已知問題

  • 在您安裝安全性更新 896358 之後,特定種類的網頁應用程式可能無法正確運作。例如,HTML 說明的目錄可能不再運作。另外,特定的 HTML 說明功能,例如「相關主題」功能可能在 .chm 檔案於遠端位置開啟時無法運作。 如需有關這個問題的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
    892675 在您安裝安全性更新 896358 或 890175 之後,某些網站和 HTML 說明功能可能無法運作
  • 安裝安全性更新 896358 之後,某些網頁應用程式的功能不再正常運作。例如,在您按一下連結後,主題可能不會出現。同時,當您嘗試使用「通用命名慣例」(UNC) 路徑開啟網路共用資料夾上的 .chm 檔,.chm 檔中的主題可能無法顯示。 如需有關這個問題的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
    896054 在安裝安全性更新 896358、840315 或 Windows Server 2003 Service Pack 1 之後,無法使用 InfoTech 通訊協定開啟遠端內容
  • 在您安裝安全性更新 896358 之後,使用 HTML 說明 ActiveX 控制項 (HHCTRL) 來啟動跨框架瀏覽功能的網頁應用程式,可能無法運作。 如需有關這個問題的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
    896905 安裝安全性更新 896358 之後,應該顯示在不同框架的內容卻顯示在含有 HTML Help ActiveX 控制項的框架中
  • 安裝安全性更新 896358 之後,如果您要從 Internet Explorer 的超連結開啟 HTML 說明,可能會發生問題。 如需有關這個問題的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
    902225 在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後,您無法從 Internet Explorer 開啟 HTML 說明檔
  • 安裝安全性更新 896358 之後,HTML 說明 ActiveX 控制項將無法再接受參數中特定種類的 URL。 如需有關這個問題的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
    905215 安裝安全性更新 896358 之後,當您在 HTML 說明 ActiveX 控制項參數中使用 URL 結構描述時,系統會忽略有些 URL 結構描述
如需有關 Windows Server 2003 最新版 Service Pack 的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
889100 如何取得 Windows Server 2003 的最新版 Service Pack

可以嘗試的方案

安全性更新 896358 中的 HTML 說明變更

警告本文提供如何解決因部署安全性更新 896358 所引起問題的相關資訊。但 Microsoft 並未針對您的組織適用哪些登錄機碼和值提出具體建議。使用這些因應措施時,如何在迴避風險的同時仍能善用其優勢,您的 IT 部門將是這項任務的不二人選。最安全的做法,就是不要使用登錄因應措施。

下列是更新 896358 會如何影響網頁應用程式的簡短說明。
摺疊此表格展開此表格
問題安裝安全性更新 896358 之前的情況安裝安全性更新 896358 之後的情況包含更多資訊和因應措施的「Microsoft 知識庫」文件
InfoTech 通訊協定已遭封鎖,無法存取遠端內容InfoTech 通訊協定可顯示遠端內容 (Windows Server 2003 Service Pack 1 (SP1) 已封鎖的除外)。所有作業系統已遭封鎖,無法使用 InfoTech 通訊協定顯示遠端內容。
896054 在安裝安全性更新 896358、安全性更新 840315 或 Windows Server 2003 Service Pack 1 之後,無法使用 InfoTech 通訊協定開啟遠端內容
HTML 說明 ActiveX 控制項於遠端內容的使用已被封鎖安全性更新 890175 已經封鎖 HTML 說明 ActiveX 控制項在應用程式遠端內容 (HTML 說明除外) 的使用。例如,Internet Explorer 已經封鎖該控制項。HTML 說明 ActiveX 控制項已經於 HTML 說明應用程式中被封鎖。
892675 在您安裝安全性更新 896358 或安全性更新 890175 之後,某些網站和 HTML 說明功能可能無法運作
已經封鎖 HTML 說明 ActiveX 控制項在其他框架中顯示內容的功能。安全性更新 890175 已經封鎖 HTML 說明 ActiveX 控制項在應用程式遠端內容 (HTML 說明除外) 的使用。例如,Internet Explorer 已經封鎖該控制項。使用 HTML 說明 ActiveX 控制項,以啟用跨框架瀏覽的網頁應用程式將無法正常運作。應該顯示在不同框架的內容,會在包含 HTML 說明 ActiveX 控制項的框架中出現。
896905 安裝安全性更新 896358 之後,應該顯示在不同框架的內容卻顯示在含有 HTML 說明 ActiveX 控制項的框架中
無法從 Internet Explorer 開啟 .chm 檔沒問題。當您使用 Internet Explorer 開啟 .chm 檔,無法顯示主題。

使用 Internet Explorer 儲存 .chm 檔之後,由於「附件管理員」保護的緣故,有些使用者在開啟檔案時,可能會發生問題。
902225 在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後,您無法從 Internet Explorer 開啟 HTML 說明檔
當您在應用 HTML 說明 ActiveX 控制項參數中使用 URL 結構描述時,系統會忽略有些 URL 結構描述。HTML 說明 ActiveX 控制項參數中會允許任何結構描述。HTML 說明 ActiveX 控制項會略過下列項目以外的所有結構描述:file、http、https、ftp、its、 ms-its、mk:@msitstore、Hcp。
905215 安裝安全性更新 896358 之後,當您在 HTML 說明 ActiveX 控制項參數中使用 URL 結構描述時,系統會忽略有些 URL 結構描述

解決安全性更新 896358 中應用程式相容性問題的方法

安全性更新 896358 支援某些登錄機碼和登錄項目,您可用來解決應用程式相容性問題。使用這些問題可協助您判斷要進行哪些登錄的變更:
  • 您的組織需要被文中描述的變更所影響的應用程式或案例嗎?
    • 變更影響了多少應用程式?這些應用程式有多重要?
    • 變更所引致的異常有多嚴重?
    • 您可以修改程式,讓它們不必使用 HTML 說明的功能嗎?例如,您的員工可不可以下載.chm 檔案,而非直接從檔案共用執行?網頁應用程式可不可以使用 DHTML 目錄代替 HTML 說明 ActiveX 控制項?
  • 您組織的安全性需求和功能為何?
    • 哪一項比較重要?是您所使用的 HTML 說明功能,還是確定您的安全性夠強?
    • 您考慮過啟用如下列範例所述,在內部網路中使用的 HTML 說明檔技術嗎?如果是,外部安全性措施 (例如企業防火牆) 是否能給您足夠的信心來執行這個做法?您信任您的員工,所以並不擔心組織裡的系統可能會用來互相攻擊嗎?

使用安全性更新 896358 的部份範例

警告最安全的做法,就是不要使用登錄因應措施。如果您必須使用登錄因應措施,請以最保守的方法來進行設定。例如,請使用下列的方法:
  • 請不要使用 MaxAllowedZone 登錄項目,而改用 UrlAllowList 登錄項目。將 UrlAllowList 設定為儘可能啟用少數的網站。
  • 如果您必須使用 MaxAllowedZone 登錄項目,請最好不要將 MaxAllowedZone 設定高過必須值。如果將 MaxAllowedZone 設為 3 或更高,您的系統將暴露於網際網路的攻擊中。
在您蒐集了組織使用 HTML 說明的資訊之後,檢閱下列的範例,看看是否能幫助您在組織裡應用安全性更新 896358 的同時,建立一套可用的策略。

保守方法的範例

如果下列陳述適用於您的組織,則可使用保守方法:
  • 沒有使用 HTML 說明技術的已知網頁應用程式。
  • 讓安全性夠強,比讓 HTML 說明在應用程式和案例裡正常運作都來得重要。
  • 您擁有使用 HTML 說明技術的網頁應用程式,但是這些應用程式的擁有者,能夠快速修改這些應用程式以使用其他技術。
  • 您知道或很快就能辨別出,任何需要 HTML 說明技術的應用程式和案例,所裝載的部署應用程式伺服器或檔案共用。而且,您也可以為這些應用程式伺服器和檔案共用提供足夠的保護。
  • 沒有人需要從遠端 (如檔案共用) 開啟 .chm 檔案。
下列方法是保守方法的其中一個範例:
  1. 套用安全性更新 896358。然後,使用「群組原則」物件來強制執行限制。

    根據預設,如果您在安裝安全性更新 896358 之後,沒有修改一或多個登錄項目,則安全性更新 896358 中的安全性防護功能限制會儘可能的設至最大。可是,您可以使用「群組原則」物件來防止個別使用者自行放寬限制。

    下列登錄檔案使安全性更新 896358 中的安全性緩和效果受限:
    REGEDIT4
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
    "MaxAllowedZone"=dword:00000000 
    "UrlAllowList"=""
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
    "MaxAllowedZone"=dword:00000000
    "UrlAllowList"=""
    如果您知道組織中並未使用需要 HTML 說明的網頁應用程式,並且組織中的使用者不需要存取遠端 .chm 檔案,您可以在此停止。
  2. 研究網頁應用程式使用 HTML 說明的方式。您可能已經從使用者那邊得知,某些內部網頁應用程式已經受到更新的影響。聯絡這些網頁應用程式的擁有者,並看看他們能否重新調整需要 HTML 說明技術的功能。如果網頁應用程式不需要 HTML 說明檔技術,則您現在可以停止操作。
  3. 選擇性啟用網頁應用程式。如果您發現某些網頁應用程式必須要能夠使用 HTML 說明功能,則您可以選擇性地重新啟用對裝載這些應用程式的伺服器的存取。下列的登錄檔案範例重新啟用特定網站的 HTML 說明 ActiveX 控制項和 InfoTech 通訊協定。此登錄檔案範例也會重新啟用 HTML 說明 ActiveX 控制項的跨框架瀏覽。
    REGEDIT4
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
    "MaxAllowedZone"=dword:00000000 
    "UrlAllowList"="http://contoso/salesapp/"
    "EnableFrameNavigationInSafeMode"=dword:00000001
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
    "MaxAllowedZone"=dword:00000000
    "UrlAllowList"="http://contoso/salesapp/"
    注意 使用者可能還是無法直接從網頁中的連結開啟 .chm 檔案。 如需有關這個問題和因應措施的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
    902225 在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後,您無法從 Internet Explorer 開啟 HTML 說明檔

較不保守方法的範例

如果下列陳述適用於您的組織,則此方法可運作良好:
  • 您願意接受額外的風險,以避免讓安全性更新 896358 對您的應用程式造成不良的影響。
  • 您無法很快地辨別所有需要 HTML 說明檔技術的特定應用程式和案例。
  • 使用 HTML 說明檔技術的網頁應用程式,對您的業務而言非常重要。而且,您無法很快速地修改這些應用程式,以使用其他技術。
下列方法是較不保守方法的其中一個範例:
  1. 套用安全性更新 896358。然後,使用「群組原則」物件來強制執行限制。

    下列的登錄檔案範例,讓您內部網路裡的所有系統均可以使用 InfoTech 通訊協定,提供 HTML 說明 ActiveX 控制項和內容。此登錄檔案範例也會重新啟用 HTML 說明 ActiveX 控制項的跨框架瀏覽。
    REGEDIT4
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
    "MaxAllowedZone"=dword:00000001
    "EnableFrameNavigationInSafeMode"=dword:00000001
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
    "MaxAllowedZone"=dword:00000001
    注意 使用者可能還是無法直接從網頁中的連結開啟 .chm 檔案。 如需有關這個問題和因應措施的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
    902225 在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後,您無法從 Internet Explorer 開啟 HTML 說明檔
  2. 研究網頁應用程式使用 HTML 說明的方式。判斷哪個網頁應用程式需要 HTML 說明技術。聯絡這些網頁應用程式的擁有者,並看看他們能否重新調整需要 HTML 說明技術的功能。
  3. 根據研究調整 HTML 說明設定。如果根據您的研究判斷,網頁應用程式不再需要 HTML 說明技術,那麼您可以部署下列登錄檔案,以建立安全性更新 896358 所支援的最大限制:
    REGEDIT4
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
    "MaxAllowedZone"=dword:00000000
    "UrlAllowList"=""
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
    "MaxAllowedZone"=dword:00000000
    "UrlAllowList"=""
    如果您發現某些網頁應用程式必須使用 HTML 說明功能,您可以限制使用此技術的系統。下列的登錄檔案範例,限制特定內部網路網站使用的 HTML 說明 ActiveX 控制項和 InfoTech 通訊協定。這個登錄檔案範例也會讓 HTML 說明 ActiveX 控制項繼續瀏覽整個框架。
    REGEDIT4
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
    "MaxAllowedZone"=dword:00000000 
    "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
    "EnableFrameNavigationInSafeMode"=dword:00000001
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
    "MaxAllowedZone"=dword:00000000 
    "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

登錄項目

下表列出本文討論的 HTML 說明登錄項目。此表也列出您可以參閱以取得詳細資訊的「Microsoft 知識庫」文件。
摺疊此表格展開此表格
Microsoft 知識庫文件
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\MaxAllowedZone
892675 在您安裝安全性更新 896358 或安全性更新 890175 之後,某些網站和 HTML 說明功能可能無法運作
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\UrlAllowList
892675 在您安裝安全性更新 896358 或安全性更新 890175 之後,某些網站和 HTML 說明功能可能無法運作
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\EnableFrameNavigationInSafeMode
896905 安裝安全性更新 896358 之後,應該顯示在不同框架的內容卻顯示在含有 HTML Help ActiveX 控制項的框架中
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\MaxAllowedZone
896054 在安裝安全性更新 896358、安全性更新 840315 或 Windows Server 2003 Service Pack 1 之後,無法使用 InfoTech 通訊協定開啟遠端內容
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\UrlAllowList
896054 在安裝安全性更新 896358、安全性更新 840315 或 Windows Server 2003 Service Pack 1 之後,無法使用 InfoTech 通訊協定開啟遠端內容

Internet Explorer 安全性區域

如需有關如何使用 Internet Explorer 中的安全性區域的詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
174360 如何使用 Internet Explorer 中的安全性區域

群組原則

如需群組原則的詳細資訊,請造訪下列 MSDN 網站: Microsoft 僅提供示範性的程式設計範例,不做任何明示或默示的保證。其中包括 (但不限於) 其適售性與適合某特定用途之默示擔保。本文將假設您已相當熟悉示範所使用的程式設計語言,以及用於建立和偵錯程序的工具。Microsoft 技術支援工程師可以協助說明特定程序的功能,但不會修改這些範例以提供附加功能或建構程序來滿足您的特定需求。

x64 版本 Microsoft Windows 的技術支援

在執行 x64 版本 Microsoft Windows 的電腦上,您可能需依照<解決方案>一節中關於如何修改登錄的指示進行。例如,您可能必須修改登錄的不同部分,而這將取決於您要修改的是 32 位元或 64 位元版本的功能。 如需詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
896459 Windows Server 2003 x64 版本與 Windows XP Professional x64 Edition 中的登錄變更
您的硬體製造商會為 Windows x64 版提供技術支援和協助。由於 Windows x64 版是隨附在您的硬體中,因此,硬體製造商會提供相關的支援。硬體製造商可能已經利用特殊的元件自訂 Windows 的安裝。特殊的元件可能包括特定裝置驅動程式,或者包含可以使硬體發揮最大效能的選用設定。如果您需要有關 Windows x64 版的技術說明,Microsoft 將會在合理的情況下提供協助。不過,您可以直接與製造商連絡。在硬體上預先安裝軟體的人是硬體製造商,因此他們會是提供軟體技術支援服務的最佳人選。

如需 Microsoft Windows XP Professional x64 Edition 的產品資訊,請造訪下列 Microsoft 網站:
http://windows.microsoft.com/zh-tw/windows/windows-help?os=winxp#windows=windows-xp
如需 x64 版本 Microsoft Windows Server 2003 的產品資訊,請造訪下列 Microsoft 網站:
http://www.microsoft.com/windowsserver2003/64bit/x64/editions.mspx

屬性

文章編號: 896358 - 上次校閱: 2013年11月7日 - 版次: 7.0
這篇文章中的資訊適用於:
  • Microsoft Windows Server 2003 Service Pack 1?應用於:
    • Microsoft Windows Server 2003, Standard Edition (32-bit x86)
    • Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
    • Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
    • Microsoft Windows Server 2003, Web Edition
    • Microsoft Windows Server 2003, Enterprise Edition for Itanium-based Systems
    • Microsoft Windows Server 2003, Datacenter Edition for Itanium-Based Systems
  • Microsoft Windows Server 2003, Standard x64 Edition
  • Microsoft Windows Server 2003, Enterprise x64 Edition
  • Microsoft Windows Server 2003, Datacenter x64 Edition
  • Microsoft Windows XP Professional x64 Edition
關鍵字:?
kbwinserv2003sp2fix kbqfe kbsecurity kbsecbulletin kbsecvulnerability kbwinxppresp2fix kbbug kbfix kbwinserv2003presp1fix kbwin2000presp5fix kbwinnt400presp7fix kbhotfixserver KB896358
Microsoft及(或)其供應商不就任何在本伺服器上發表的文字資料及其相關圖表資訊的恰當性作任何承諾。所有文字資料及其相關圖表均以「現狀」供應,不負任何擔保責任。Microsoft及(或)其供應商謹此聲明,不負任何對與此資訊有關之擔保責任,包括關於適售性、適用於某一特定用途、權利或不侵權的明示或默示擔保責任。Microsoft及(或)其供應商無論如何不對因或與使用本伺服器上資訊或與資訊的實行有關而引起的契約、過失或其他侵權行為之訴訟中的特別的、間接的、衍生性的損害或任何因使用而喪失所導致的之損害、資料或利潤負任何責任。

提供意見

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com