أنت غير متصل حاليًا، وفي انتظار الإنترنت الخاص بك ليقوم بإعادة الاتصال

MS12-006: السماح بكشف المعلومات لوجود ثغرة أمنية في SSL/TLS: ١٠ يناير ٢٠١٢

انتهي دعم Windows Server 2003 في 14 يوليو 2015!

أنهت شركة Microsoft دعم نظام التشغيل Windows Server 2003 في 14 يوليو 2015. لقد أثر هذا التغيير على تحديثات البرامج لديك وخيارات الأمان الخاصة بك. تعرف على ما يعنيه ذلك فيما يتعلق بك وكيفية الحفاظ على حمايتك.

مقدمة
أصدرت Microsoft نشرة الأمن رقم MS12-006. لعرض نشرة الأمن الكاملة، قم بزيارة أحد مواقع Microsoft التالية على الويب:

كيفية الحصول على التعليمات والدعم لهذا التحديث الأمني

بالنسبة للمستخدمين المنزليين، يتوفر دعم بدون تكلفة من خلال الاتصال على 1-866-PCSAFETY في الولايات المتحدة وكندا أو عن طريق الاتصال بالمكتب الفرعي المحلي التابع لـ Microsoft. لمزيد من المعلومات حول كيفية الاتصال بالمكتب الفرعي المحلي التابع لـ Microsoft لحل مشاكل دعم التحديثات الأمنية، قم بزيارة موقع "الدعم الدولي لـ Microsoft" على الويب: يستطيع أيضًا عملاء أمريكا الشمالية الحصول على إمكانية الوصول الفوري لدعم غير محدود وبدون تكلفة بالبريد الإلكتروني أو دعم غير محدود عبر المحادثة الفردية عن طريق زيارة موقع Microsoft التالي على الويب: بالنسبة لعملاء المؤسسات، يتوفر دعم للتحديثات الأمنية من خلال جهات اتصال الدعم المعتادة.
إصلاح المشكلة بالإنابة عني
يتوفر إصلاحان.
  • الحل Fix it لبروتوكول أمن طبقة النقل (TLS) 1.1 في برنامج Internet Explorer: يعمل هذا الحل على تمكين TLS 1.1، الذي لا يتأثر بهذه الثغرة الأمنية، في برنامج Windows Internet Explorer. ويجب أن يقوم معظم المستخدمين النموذجيين بتثبيت الحل Fix it.
  • الحل Fix it لـ TLS 1.1 في الخوادم التي تعمل بنظام التشغيل Windows: يعمل هذا الحل على تمكين TLS 1.1، الذي لا يتأثر بالثغرة الأمنية.
لا تعتبر حلول Fix it الموضحة في هذا القسم بديلاً عن أي تحديث أمني. نوصي دائمًا بتثبيت آخر التحديثات الأمنية. ومع ذلك، فإننا نقدم حلول Fix it كخيارات لحلول بديلة في بعض السيناريوهات.

لمزيد من المعلومات حول الحلول البديلة، راجع نشرة الأمن رقم MS12-006:  توفر نشرة الأمن مزيدًا من المعلومات حول المشكلة وتشمل ما يلي:
  • السيناريوهات التي يمكنك فيها تطبيق الحل البديل أو تعطيله.
  • العوامل المقللة من فرص التعرض للهجوم
  • الحلول البديلة
  • الأسئلة المتداولة
بوجه خاص، لمراجعة هذه المعلومات، ابحث عن القسم معلومات الثغرات الأمنية وقم بتوسيع الفقرة الحلول البديلة أسفل الفقرة الثغرة الأمنية لبروتوكولات SSL وTLS - CVE-2011-3389.

الحل Fix it لـ TLS 1.1 في برنامج Internet Explorer

لتمكين الحل Fix it أو تعطيله، انقر فوق الزر Fix it أو الارتباط الموجود أسفل العنوان تمكين أو أسفل العنوان تعطيل. انقر فوق تشغيل في مربع الحوار تنزيل ملف، ثم اتبع الخطوات الموجودة في المعالج Fix it.
تمكينتعطيل

ملاحظات

  • قد تكون هذه المعالجات باللغة الإنجليزية فقط. ومع ذلك، تعمل الإصلاحات التلقائية أيضًا مع إصدارات Windows باللغات الأخرى.
  • إذا كنت لا تعمل على الكمبيوتر الذي توجد به المشكلة، يمكنك حفظ الإصلاح التلقائي إلى محرك أقراص محمول أو قرص مضغوط، ثم تشغيله على الكمبيوتر الذي توجد به المشكلة.

الحل Fix it لـ TLS 1.1 في الخوادم التي تعمل بنظام التشغيل Windows

لتمكين الحل Fix it أو تعطيله، انقر فوق الزر Fix it أو الارتباط الموجود أسفل العنوان تمكين أو أسفل العنوان تعطيل. انقر فوق تشغيل في مربع الحوار تنزيل ملف، ثم اتبع الخطوات الموجودة في المعالج Fix it.
تمكينتعطيل

ملاحظات

  • قد تكون هذه المعالجات باللغة الإنجليزية فقط. ومع ذلك، تعمل الإصلاحات التلقائية أيضًا مع إصدارات Windows باللغات الأخرى.
  • إذا كنت لا تعمل على الكمبيوتر الذي توجد به المشكلة، يمكنك حفظ الإصلاح التلقائي إلى محرك أقراص محمول أو قرص مضغوط، ثم تشغيله على الكمبيوتر الذي توجد به المشكلة.

المشاكل المعروفة لهذا التحديث الأمني

بعد تثبيت هذا التحديث الأمني، قد تواجه فشل عملية المصادقة أو فقدان الاتصال ببعض خوادم HTTPS. تحدث هذه المشكلة لأن هذا التحديث الأمني يعمل على تغيير الطريقة التي يتم بها إرسال السجلات إلى خوادم HTTPS. 

لتعطيل هذا التحديث الأمني أو إعادة تمكينه مؤقتًا، انقر فوق الزر Fix it أو الارتباط أسفل العنوان تعطيل التحديث الأمني أو أسفل العنوان إعادة تمكين التحديث الأمني. انقر فوق تشغيل في مربع الحوار تنزيل ملف، ثم اتبع الخطوات الموجودة في المعالج Fix it.
تعطيل التحديث الأمني إعادة تمكين التحديث الأمني
ملاحظات
  • قد تكون هذه المعالجات باللغة الإنجليزية فقط. ومع ذلك، تعمل الإصلاحات التلقائية أيضًا مع إصدارات Windows باللغات الأخرى.
  • إذا كنت لا تعمل على الكمبيوتر الذي توجد به المشكلة، يمكنك حفظ الإصلاح التلقائي إلى محرك أقراص محمول أو قرص مضغوط، ثم تشغيله على الكمبيوتر الذي توجد به المشكلة.
يوضح الجدول التالي القيم التي يتم تطبيقها بواسطة حلول Fix it هذه على الإدخال DWORD للتسجيل SendExtraRecord:
العنوان القيمة المطبقة على إدخال SendExtraRecord
تعطيل التحديث الأمني 2
إعادة تمكين التحديث الأمني 0

مشاكل معروفة ومعلومات إضافية حول هذا التحديث الأمني

تتضمن المقالات التالية معلومات إضافية حول هذا التحديث الأمني لارتباطه بإصدارات المنتجات الفردية. قد تحتوي هذه المقالات على معلومات حول المشاكل المعروفة. وفي هذه الحالة، يتم سرد المشكلة المعروفة أسفل كل ارتباط للمقالة:
  • 2585542 MS12-006: وصف التحديث الأمني لكل من Webio وWinhttp وschannel في نظام التشغيل Windows: ١٠ يناير ٢٠١٢
  • 2638806 MS12-006: وصف التحديث الأمني لـ Winhttp في نظامي التشغيل Windows Server 2003 وWindows XP Professional x64 Edition: ١٠ يناير ٢٠١٢

معلومات التسجيل

لا يُوصى بها لا نوصي باستخدام الإجراء التالي لتعطيل هذا التحديث الأمني. ومع ذلك، نوفر هذا الحل للسيناريوهات التي قد يتم فيها استخدام تطبيقات غير متوافقة مع هذا التحديث الأمني والذي يمكّن سجلات SSL المنقسمة لكافة التطبيقات.

هام يحتوي هذا القسم أو الطريقة أو المهمة على خطوات توضح كيفية تعديل السجل. وقد يحدث رغم ما سبق مشاكل خطيرة في حالة تعديل السجل بطريقة غير صحيحة. ولذلك، يجب التأكد من اتباع هذه الخطوات بعناية. قم بعمل نسخة احتياطية من السجل قبل تعديله كوسيلة من وسائل الحماية الإضافية. بعد ذلك، يمكنك استعادة السجل في حالة حدوث أية مشكلة. لمزيد من المعلومات حول كيفية عمل نسخة احتياطية من السجل واستعادته، انقر فوق رقم المقالة التالي لعرضها في "قاعدة معارف Microsoft":
322756كيفية عمل نسخة احتياطية من السجل واستعادته في نظام التشغيل Windows


يعمل هذا التحديث الأمني افتراضيًا على تعيين الوضع Opt-in على المستوى schannel؛ بسبب المشاكل المتعلقة بتوافق التطبيقات. لتعطيل هذا التحديث الأمني لكافة التطبيقات على مستوى النظام، يجب إضافة قيمة DWORD باسمSendExtraRecord التي تشتمل على قيمة ٢ إلى مفتاح التسجيل الفرعي التالي:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL
لإضافة إدخال التسجيل schannel هذا، اتبع الخطوات التالية:
  1. انقر فوق ابدأ، وانقر فوق تشغيل، واكتب regedit في المربع فتح، ثم انقر فوق موافق.
  2. حدد موقع المفتاح الفرعي التالي داخل السجل، ثم انقر فوقه:
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL
  3. من القائمة تحرير، قم بالإشارة إلى جديد، ثم انقر فوق القيمة DWORD.
  4. اكتب SendExtraRecord لاسم DWORD، ثم اضغط مفتاح "الإدخال".
  5. انقر بزر الماوس الأيمن فوق SendExtraRecord، ثم انقر فوق تعديل.
  6. في المربع بيانات القيم، اكتب 2 لتعطيل السجل المنقسم في schannel، ثم انقر فوق موافق.
  7. قم بإنهاء "محرر التسجيل".
يمكن أن يحتوي إدخال التسجيل على ثلاث قيم التي توفر أوضاع مختلفة للعملية:
قيمة مفتاح التسجيل الوصف
0يتضمن schannel افتراضيًا في "الوضع Optin". وهذا يعني أنه سينجح هذا التحديث الأمني مع كافة المستدعين الذين أرسلوا العلامة "آمن" إلى schannel. لن يتم إنشاء إدخال تسجيل schannel "SendExtraRecord" باستخدام الحزمة الأمنية. ولذلك، يُقصد بعدم وجود إدخال تسجيل schannel أن النظام يعمل على تشغيل هذا الوضع. وإذا قام شخص ما بإنشاء مفتاح التسجيل هذا وقام بتعيين القيمة إلى الرقم 0، فستعمل قناة schannel مرةً أخرى في هذا الوضع.

يشتمل هذا الإعداد على نفس التأثير وكأنه لم يتم إنشاء إدخال التسجيل هذا مطلقًا. ستعمل التطبيقات التي ترسل العلامة "آمن" لـ schannel أثناء تهيئة جلسة العمل على استخدام مسار الرمز الآمن الذي تم تصحيحه. بالنسبة للتطبيقات الأخرى، لن يكون هناك تغيير في وظيفة schannel.

يعمل هذا التحديث الأمني أيضًا على إصلاح طبقات التطبيق المضمنة في استعراض الويب باستخدام البرنامج Internet Explorer لإرسال العلامة "آمن"؛ للمساعدة في تأمين سيناريوهات استخدام المستعرض.

ملاحظة في Windows Server 2003، يجب تثبيت التحديث الأمني رقم ٢٦٣٨٨٠٦ لتأمين تطبيقات عميل HTTP التي تستفيد من واجهات WinHTTP API. لمزيد من المعلومات، انقر فوق رقم المقالة التالي لعرضها في "قاعدة معارف Microsoft":
2638806 MS12-006: وصف التحديث الأمني لـ Winhttp في نظامي التشغيل Windows Server 2003 وWindows XP Professional x64 Edition: ١٠ يناير ٢٠١٢
1 يقصد بتعيين القيمة على ١ "ممكّن للكل". وهذا يعني أنه ليس على المستدعين إرسال العلامة، وسيعمل schannel على تقسيم كافة سجلات SSL. ومع تعيين هذه القيمة، لن يلزم إجراء أي تغييرات على هذه التطبيقات. كما يتمكن أحد العملاء المهتمين بأمن النظام من العمل على جعل الأنظمة أكثر أمنًا من خلال تمكين مفتاح التسجيل هذا.
2 يقصد بتعيين القيمة على ٢ "معطل للكل". وهذا يعني أن schannel لن يعمل على تقسيم السجلات لأي استدعاء تشفير يعمل التطبيق على إجرائها. ولا يقبل هذا الوضع بالعلامة "آمن" التي يرسلها تطبيق ما.
بناءً على الاختبار الداخلي، نجد أنه لا يمكن عمليًا تعيين قيمة التسجيل على ١؛ حيث إنه قد يعمل على عرقلة سيناريوهات عديدة جدًا في إحدى المؤسسات. ولذلك، نوصي المستخدمين بعدم استخدامها.

المشاكل المعروفة المتعلقة بتمكين إدخال التسجيل SendExtraRecord

  • يفرض تعيين قيمة التسجيل SendExtraRecord على ١ تقسيم السجلات في كل استدعاء لتشفير البيانات في schannel. ويحدث ذلك بغض النظر عما إذا كان المستدعي قد أرسل العلامة "آمن" أثناء تهيئة جلسة العمل.
  • تتم كتابة العديد من التطبيقات التي تستخدم schannel؛ لذا يفترض الجانب المتلقي أنه سيتم وضع بيانات التطبيق في حزمة واحدة. ويحدث ذلك بالرغم من أنه يعمل التطبيق على استدعاء schannel لفك التشفير. تتجاهل التطبيقات علامة تم تعيينها بواسطة schannel. وتوضح العلامة المشيرة إلى التطبيق أن هناك المزيد من البيانات المطلوب فك تشفيرها وانتقاؤها من قِبل المتلقي. لا تتبع هذه الطريقة تلك المحددة من MSDN لاستخدام schannel. ونظرًا لقيام التحديث الأمني بفرض تقسيم السجلات، يؤدي ذلك إلى تعطيل مثل هذه التطبيقات.
  • تتضمن التطبيقات المعطلة منتجات Microsoft والمكونات المتضمنة بها. وفيما يلي أمثلة عن سيناريوهات قد تتم عرقلتها عند تعيين قيمة التسجيل SendExtraRecord على ١:
    • كافة منتجات SQL، والتطبيقات المضمنة في SQL.
    • "الخوادم الطرفية" التي تشتمل على "مصادقة مستوى الشبكة" (NLA) قيد التشغيل. يتم تمكين NLA افتراضيًا في نظام التشغيل Windows Vista والإصدارات الأحدث من أنظمة التشغيل Windows.
    • بعض سيناريوهات "خدمة التوجيه والوصول عن بُعد" (RRAS).
يفرض تعيين قيمة التسجيل SendExtraRecord على ١ تقسيم السجلات الأمنية لكافة التطبيقات التي تستخدم Windows TLS/SSL. وعلى الرغم من ذلك، قد يشتمل هذا الإعداد على مشاكل متعلقة بتوافق التطبيقات. ولذلك، نوصي العملاء بتكوين TLS 1.1 وTLS 1.2 بدلاً من استخدام إعداد التسجيل هذا. لا يعد كل من TLS 1.1 وTLS 1.2 عرضة لهذه المشكلة.

إذا أراد مستخدم استخدام إعداد التسجيل هذا، نوصي بإجراء اختبار لتوافق التطبيق بشكل شامل قبل تنفيذه. وتتضمن معظم المنتجات الشائعة المعروفة بتأثرها بهذا الإعداد منتجات Microsoft SQL وWindows Terminal Server وWindows Remote Access Server.
الأسئلة المتداولة
س: ما الذي يمكن أن تفعله Microsoft لمساعدتي في إصلاح التطبيق من جانب الخادم لدي؟
ج: تأكد من أن التطبيق يمكنه معالجة تجزئة سجلات تطبيقات SSL/TLS كما هو موضح في طلبات التعليقات التالية:
ملاحظة هذه عبارة عن مقالة "للنشر العاجل" تم إنشاؤها مباشرةً من قِبل منظمة الدعم الخاصة بـ Microsoft. وتم توفير المعلومات الواردة بها كاستجابةً للمشكلات البارزة. وكنتيجة للاستعجال في إتاحة هذه المقالة، فقد تحتوى المواد الواردة بها على بعض الأخطاء المطبعية وقد يتم مراجعتها في أي وقت بدون إشعار بذلك. راجع شروط الاستخدام لمعرفة الاعتبارات الأخرى.
خصائص

رقم الموضوع: 2643584 - آخر مراجعة: 01/26/2012 20:51:00 - المراجعة: 4.0

Windows 7 Service Pack 1, Windows 7 Enterprise, Windows 7 Home Premium, Windows 7 Professional, Windows 7 Ultimate, Windows 7 Home Basic, Windows Server 2008 R2 Service Pack 1, Windows Server 2008 R2 Datacenter, Windows Server 2008 R2 Enterprise, Windows Server 2008 R2 Standard, Windows Server 2008 Service Pack 2, Windows Server 2008 Datacenter, Windows Server 2008 Enterprise, Windows Server 2008 Standard, Windows Web Server 2008, Microsoft Windows Server 2003 Service Pack 2

  • atdownload kbfix kbbug kbexpertiseinter kbsecurity kbsecbulletin kbsecvulnerability kbsurveynew KB2643584
تعليقات
ppendChild(m); >/html>guage(language);" class="ng-binding" id="language-zh-hk">香港特別行政區 - 繁體中文
El Salvador - Español
Panamá - Español
Uruguay - Español
대한민국 - 한국어
España - Español
Paraguay - Español
Venezuela - Español
p;did=1&t=">&did=1&t=">r varCustomerTracking = 1; var Route = "76500"; var Ctrl = ""; document.write("