MS09-042：Telnet 的弱點可能會允許遠端程式碼執行

文章編號: 960859 - 檢視此文章適用的產品。

全部展開 | 全部摺疊

簡介

Microsoft 已經發行資訊安全佈告欄 MS09-042。若要檢視完整的資訊安全佈告欄，請造訪下列其中一個 Microsoft 網站：

家庭使用者：
http://www.microsoft.com/protect/computer/updates/bulletins/200908.mspx
(http://www.microsoft.com/protect/computer/updates/bulletins/200908.mspx)
略過詳細資料 ：現在從 Microsoft Update 網站為您的家用電腦或膝上型電腦下載更新：
http://update.microsoft.com/microsoftupdate
(http://update.microsoft.com/microsoftupdate)
IT 專業人員：
http://www.microsoft.com/taiwan/technet/security/bulletin/MS09-042.mspx
(http://www.microsoft.com/taiwan/technet/security/bulletin/MS09-042.mspx)

如何取得此安全性更新的說明及支援

如為家庭使用者，若位於美國或加拿大境內，可撥打 1-866-PCSAFETY 或連絡您當地的 Microsoft 分公司來取得免費支援。如需有關如何連絡當地的 Microsoft 分公司以尋求安全性更新的支援問題的詳細資訊，請造訪 Microsoft 世界各地技術支援網站：

http://support.microsoft.com/common/international.aspx?rdpath=4

(http://support.microsoft.com/common/international.aspx?rdpath=4)

北美洲地區的客戶也可以造訪下列 Microsoft 網站，立即使用無限制的免費電子郵件支援，或無限制的個人交談支援：

http://support.microsoft.com/oas/default.aspx?&prid=7552

(http://support.microsoft.com/oas/default.aspx?&prid=7552)

企業客戶可以透過常用的支援連絡方式來取得安全性更新的支援。

回此頁最上方 | 提供意見

其他相關資訊

此安全性更新的其他相關資訊

此資訊安全佈告欄說明的內容為何？
此安全性更新處理 Telnet 通訊協定反射保護的問題。如需有關反射保護的詳細資訊，請參閱下列資訊安全佈告欄：
http://www.microsoft.com/taiwan/technet/security/bulletin/MS09-042.mspx
(http://www.microsoft.com/taiwan/technet/security/bulletin/MS09-042.mspx)
何謂「延伸保護」？
此安全性更新包含深入防禦修正程式，可讓 Telnet 用戶端與伺服器選擇加入延伸保護。根據預設值，此功能為停用。請仔細檢閱此安全性更新以及下列資訊安全諮詢，其中會更詳盡說明「延伸保護」，以確保您瞭解這些變更的影響：
973811
(http://support.microsoft.com/kb/973811/ )
Microsoft 資訊安全諮詢：驗證延伸保護
如何啟用電腦的「延伸保護」？
在啟用「延伸保護」前，請確定在用戶端與伺服器電腦上已安裝下列更新：
968389
(http://support.microsoft.com/kb/968389/ )
驗證延伸保護
為了能夠啟用 Telnet 的「延伸保護」，請確定資訊安全諮詢 968389 與本文中的更新已安裝在用戶端和伺服器電腦上。

注意啟用「延伸保護」的用戶端設定為整個系統的設定。此設定啟用時，會啟用用戶端電腦上所有元件的「延伸保護」。

在伺服器上，必須分別為每個元件啟用「延伸保護」。請確定已針對「延伸保護」更新特定伺服器的所有用戶端元件，您才能在伺服器上啟用「延伸保護」，否則可能會發生驗證失敗。安裝安全性更新後，您必須啟用用戶端與伺服器電腦上的「延伸保護」。

若要啟用電腦上的「延伸保護」，則必須進行下列變更。

重要這個章節、方法或工作包含修改登錄的步驟。然而，如果您不當修改登錄，可能會發生嚴重的問題。因此，請務必小心執行這些步驟。為加強保護，修改登錄之前，請務必將它備份起來。以後您就可以在發生問題時還原登錄。如需有關如何備份和還原登錄的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
322756
(http://support.microsoft.com/kb/322756/ )
如何在 Windows 中備份及還原登錄
- 如果電腦是 Telnet 用戶端：
  1. 確認下列登錄子機碼中有登錄值 [SuppressExtendedProtection] 與 [LmCompatibilityLevel]：
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\
  2. 如果沒有這些登錄值，請開啟「登錄編輯程式」，然後依照下列步驟執行：
    1. 在登錄中找出並按一下下列機碼：
      HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\
    2. 在 [編輯] 功能表上，指向 [新增]，然後按一下 [DWORD 值]。
    3. 輸入 SuppressExtendedProtection，然後按下 ENTER。
    4. 在 [編輯] 功能表上，按一下 [修改]。
    5. 輸入 0，然後按一下 [確定]。
    6. 在 [編輯] 功能表上，指向 [新增]，然後按一下 [DWORD 值]。
    7. 輸入 LmCompatibilityLevel，然後按下 ENTER。
    8. 在 [編輯] 功能表上，按一下 [修改]。
      
      注意此步驟會變更 NTLM 驗證需求。請檢閱下列「Microsoft 知識庫」文件，以確定您熟悉此步驟。
      239869
      (http://support.microsoft.com/kb/239869/ )
      如何啟用 NTLM 2 驗證
    9. 輸入 3，然後按一下 [確定]。
    10. 結束「登錄編輯程式」。
- 在 Telnet 伺服器上：
  在進行下列變更前，請先參閱下列 MSDN 文件，再設定任何強化模式：
  http://msdn.microsoft.com/zh-tw/library/dd767318.aspx
  (http://msdn.microsoft.com/zh-tw/library/dd767318.aspx)
  1. 確認下列登錄子機碼中有登錄值 [ExtendedProtection]：
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TelnetServer\1.0\
  2. 如果沒有此登錄值，請開啟「登錄編輯程式」，然後依照下列步驟執行：
    1. 在登錄中找出並按一下下列機碼：
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TelnetServer\1.0\
    2. 在 [編輯] 功能表上，指向 [新增]，然後按一下 [DWORD 值]。
    3. 輸入 ExtendedProtection，然後按下 ENTER。
    4. 在 [編輯] 功能表上，按一下 [修改]。
    5. 根據您的 Telnet 需求使用下列其中一個值來設定登錄值，然後按一下 [確定]：
      - 傳統：允許所有類型的用戶端。將 [ExtendedProtection] 設為 0。
      - 部分：(Legacy + EP) 允許未傳送服務主體名稱 (SPN) 的用戶端，或允許傳送正確 SPN 的用戶端。將 [ExtendedProtection] 設為 1。
      - 完全強化：(僅 EP) 允許僅傳送正確 SPN 的用戶端。將 [ExtendedProtection] 設為 2。
    6. 結束「登錄編輯程式」。
安裝此套件時
下列登錄機碼與登錄值只會建立在執行 Windows XP 的電腦或執行 Windows Server 2003 的伺服器上：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TelnetServer\1.0\ExtendedProtection
[ExtendedProtection] 的預設值設為 0。在 Windows Vista 上，您必須手動建立此機碼，並依據所選的強化模式提供適當的值。如果要新增登錄值，請依照本文稍早在＜如何啟用電腦的延伸保護？＞一節中所列的步驟進行。
Telnet 伺服器上預設允許的 SPN：
- 根據預設，Telnet 伺服器允許下列的名稱與 IP 清單：
  - 「localhost」為英文字串。
  - 您伺服器或電腦上所有的 IP (IPv4 與 IPv6) 變化型式。
  - 127.0.0.1 & ::1
  - NetBIOS 格式的主機名稱
  - FQDN 格式的主機名稱。
- 如果系統管理員允許其他 SPN，可以如下所示新增更多名稱。名稱不會從 NetBIOS 轉換至 FQDN，或從 FQDN 轉換至 NetBIOS：
  - 如果沒有登錄值 [AllowedSPN]，請開啟「登錄編輯程式」，並依照下列步驟執行：
    1. 在登錄中找出並按一下下列機碼：
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TelnetServer\1.0\
    2. 在 [編輯] 功能表上，指向 [新增]，再按一下 [多字串值]。
    3. 輸入 AllowedSPN，然後按下 ENTER。
    4. 在 [編輯] 功能表上，按一下 [修改]。
    5. 新增您想要允許為 SPN 的別名。下列項目是 Telnet 的有效 SPN：
      telnet/machineName
    6. 按一下 [確定]，然後結束「登錄編輯程式」。

此安全性更新的已知問題

在執行 Windows XP 的電腦上，或執行 Windows Server 2003 的伺服器上，您可能會在 IPv6 位址與電腦別名上遇到下列 localhost 失敗的狀況：

Microsoft Telnet 用戶端不會連線至本機 IPv6 位址與所有的 localhost 別名，但「localhost」與「hostname」除外。

如果要解決這個問題，請依照適當的步驟執行：
- 若為 IPv6 位址失敗，請依照下列知識庫文件中＜此安全性更新的已知問題＞一節中的步驟執行：
  960803
  (http://support.microsoft.com/kb/960803/ )
  MS09-013：Windows HTTP 服務的弱點可能會允許遠端程式碼執行
- 若為 localhost 別名失敗，請使用下列知識庫文件中＜其他可行方案＞一節的方法 1 進行：
  896861
  (http://support.microsoft.com/kb/896861/ )
  當您瀏覽使用「整合式驗證」且裝載在 IIS 5.1 或 IIS 6 上的網站時，收到 401.1 錯誤
嘗試對任何範圍為 127.*.*.* 的 IP 位址建立 Telnet 工作階段時，除了 IP 位址 127.0.0.1 外，Telenet 工作階段將失敗。

此問題會發生在 Windows 2000、Windows XP 和 Windows Server 2003 上。
根據預設，Windows 2000 上沒有反射保護。
只有下列作業系統有轉送 (延伸) 保護：
- Windows Vista 的所有版本
- Windows Server 2003 Service Pack 2 QFE 和 Windows Server 2003 Service Pack 2 GDR
- Windows XP Service Pack 2 QFE、Windows XP Service Pack 2 GDR、Windows XP Service Pack 3 QFE 和 Windows XP Service Pack 3 GDR
您無法對叢集名稱和 FQDN 進行 Telnet。您必須將叢集名稱與 FQDN 新增至 [AllowedSPN] 登錄值。如需詳細資訊，請參閱＜安裝此套件時＞一節中有關如何進行的相關資訊。
您無法使用別名名稱對伺服器執行 Telnet。您必須將別名名稱新增至 [AllowedSPN] 登錄值。如需詳細資訊，請參閱＜安裝此套件時＞一節中有關如何進行的相關資訊。
此更新不會提供給系統上已安裝 Services for Unix 的 Windows 2000 客戶。

回此頁最上方 | 提供意見

屬性

文章編號: 960859 - 上次校閱: 2009年8月17日 - 版次: 1.2

這篇文章中的資訊適用於:

Windows Server 2008 Datacenter without Hyper-V
Windows Server 2008 Enterprise without Hyper-V
Windows Server 2008 for Itanium-Based Systems
Windows Server 2008 Standard without Hyper-V
Windows Server 2008 Datacenter
Windows Server 2008 Enterprise
Windows Server 2008 Standard
Windows Web Server 2008
Windows Vista Service Pack 1?應用於:

Windows Vista 商用入門版
Windows Vista 商用進階版
Windows Vista 家用入門版
Windows Vista 家用進階版
Windows Vista Starter
Windows Vista 旗艦版
Windows Vista 商用進階 64 位元版
Windows Vista 家用入門 64 位元版
Windows Vista 家用進階 64 位元版
Windows Vista 旗艦 64 位元版
Windows Vista 商用入門 64 位元版

Windows Vista 商用入門版
Windows Vista 商用進階版
Windows Vista 家用入門版
Windows Vista 家用進階版
Windows Vista Starter
Windows Vista 旗艦版
Windows Vista 商用進階 64 位元版
Windows Vista 家用入門 64 位元版
Windows Vista 家用進階 64 位元版
Windows Vista 旗艦 64 位元版
Windows Vista 商用入門 64 位元版
Microsoft Windows Server 2003 Service Pack 2?應用於:

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows Server 2003, Web Edition
Microsoft Windows Server 2003, Datacenter x64 Edition
Microsoft Windows Server 2003, Enterprise x64 Edition
Microsoft Windows Server 2003, Standard x64 Edition
Microsoft Windows XP Professional x64 Edition
Microsoft Windows Server 2003, Datacenter Edition for Itanium-Based Systems
Microsoft Windows Server 2003, Enterprise Edition for Itanium-based Systems

Microsoft Windows XP Service Pack 2?應用於:

Microsoft Windows XP Home Edition (家用版)
Microsoft Windows XP Professional

Microsoft Windows XP Service Pack 3?應用於:

Microsoft Windows XP Home Edition (家用版)
Microsoft Windows XP Professional

Microsoft Windows 2000 Service Pack 4?應用於:

Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Datacenter Server
Microsoft Windows 2000 Professional Edition
Microsoft Windows 2000 Server

atdownload kbbug kbexpertiseinter kbfix kbsecbulletin kbsecurity kbsecvulnerability kbsurveynew KB960859

Microsoft及(或)其供應商不就任何在本伺服器上發表的文字資料及其相關圖表資訊的恰當性作任何承諾。所有文字資料及其相關圖表均以「現狀」供應，不負任何擔保責任。Microsoft及(或)其供應商謹此聲明，不負任何對與此資訊有關之擔保責任，包括關於適售性、適用於某一特定用途、權利或不侵權的明示或默示擔保責任。Microsoft及(或)其供應商無論如何不對因或與使用本伺服器上資訊或與資訊的實行有關而引起的契約、過失或其他侵權行為之訴訟中的特別的、間接的、衍生性的損害或任何因使用而喪失所導致的之損害、資料或利潤負任何責任。

回此頁最上方 | 提供意見