MS05-026: уязвимость в HTML-справке позволяет удаленно выполнять код

Применяется к

Microsoft Windows Server 2003 Service Pack 1 Microsoft Windows XP Professional x64 Edition

Сводка

Корпорация Microsoft выпустила бюллетень по безопасности MS05-026. Бюллетень по безопасности содержит все необходимые сведения об обновлении для системы безопасности. Сюда входят сведения о файлах и параметры развертывания. Полный бюллетень по безопасности см. на следующих веб-сайтах корпорации Майкрософт:

Домашним пользователям.
http://www.microsoft.com/protect/computer/updates/bulletins/default.mspx
ИТ-специалисты:
http://www.microsoft.com/technet/security/bulletin/ms05-026.mspx

Известные проблемы

После установки обновления системы безопасности 896358 некоторые виды веб-приложений могут работать неправильно. Например, оглавление справки HTML может перестать работать. Кроме того, некоторые функции справки в формате HTML, такие как функция "Связанные темы", могут не работать при открытии файла .chm из удаленного расположения.
Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи в базе знаний Майкрософт:
892675 Некоторые функции справки по веб-сайтам и HTML могут не работать после установки 896358 обновления для системы безопасности или обновления для системы безопасности 890175
После установки обновления безопасности 896358 функции некоторых веб-приложений перестают работать правильно. Например, тема может не отображаться при переходе по ссылке. Кроме того, при попытке использовать путь UNC для открытия файла CHM, находящегося в общей папке сети, темы в файле CHM могут не отображаться. Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи в базе знаний Майкрософт:
896054 Невозможно открыть удаленное содержимое с помощью протокола InfoTech после установки обновления для системы безопасности 896358, обновления для системы безопасности 840315 или Windows Server 2003 с пакетом обновления 1 (SP1)
После установки обновления системы безопасности 896358 веб-приложения, использующие элемент управления HTML Help ActiveX (HHCTRL) для включения межкадровой навигации, могут не работать. Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи в базе знаний Майкрософт:
896905 После установки обновления системы безопасности 896358 содержимое, которое должно отображаться в другом фрейме, отображается во фрейме, содержащем элемент ActiveX справки HTML
После установки обновления системы безопасности 896358 у вас могут возникнуть проблемы с открытием HTML-файла справки по гиперссылке в Internet Обозреватель.
Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи в базе знаний Майкрософт:
902225 Невозможно открывать HTML-файлы справки из Internet Обозреватель после установки обновления для системы безопасности 896358 или Windows Server 2003 с пакетом обновления 1 (SP1)
После установки обновления системы безопасности 896358 элемент ActiveX справки в формате HTML больше не будет принимать определенные типы URL-адресов в параметрах. Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи в базе знаний Майкрософт:
905215 Некоторые схемы URL-адресов игнорируются при использовании схем URL-адресов в параметрах элемента управления ActiveX справки в формате HTML после установки обновления для системы безопасности 896358

Дополнительные сведения о последнем пакете обновления для Windows Server 2003 см. в следующей статье базы знаний Майкрософт:

889100 Получение последней версии пакета обновления для Windows Server 2003

Что попробовать

Изменения в HTML-справке в обновлении для системы безопасности 896358

Предупреждение В этой статье содержатся сведения о том, как обойти проблемы, вызванные развертыванием 896358 обновления для системы безопасности. Однако корпорация Майкрософт не дает конкретных рекомендаций о том, какие разделы и значения реестра подходят для вашей организации. Ваш ИТ-отдел лучше всех решает, как сопоставить преимущества этих обходных путей с рисками, связанными с их использованием. Самый безопасный курс — вообще не использовать обходные пути реестра.

Ниже приведены краткие объяснения того, как 896358 обновлений могут повлиять на веб-приложения.

Проблема	Поведение до 896358 обновления безопасности	Поведение после 896358 обновления безопасности	Статья базы знаний Майкрософт, содержащая дополнительные сведения и обходные пути
Протокол InfoTech заблокирован в доступе к удаленному содержимому	Протокол InfoTech мог отображать удаленное содержимое, за исключением Windows Server 2003 с пакетом обновления 1 (SP1), где это отображение было заблокировано.	Всем операционным системам запрещено использовать протокол InfoTech для отображения удаленного содержимого.	896054 Невозможно открыть удаленное содержимое с помощью протокола InfoTech после установки обновления для системы безопасности 896358, обновления для системы безопасности 840315 или Windows Server 2003 с пакетом обновления 1 (SP1)
Использование элемента ActiveX в удаленном содержимом заблокировано в HTML-справке	Обновление системы безопасности 890175 блокирует использование элемента ActiveX справки HTML в удаленном содержимом, которое отображается в приложении, отличном от справки HTML. Например, элемент управления заблокирован в обозревателях Интернета.	Элемент ActiveX HTML Help теперь также заблокирован в приложении HTML Help.	892675 Некоторые функции справки по веб-сайтам и HTML могут не работать после установки 896358 обновления для системы безопасности или обновления для системы безопасности 890175
Использование элемента ActiveX справки HTML для отображения содержимого в другом кадре заблокировано	Обновление системы безопасности 890175 блокирует использование элемента ActiveX справки HTML в удаленном содержимом, которое отображается в приложении, отличном от справки HTML. Например, элемент управления был заблокирован в Internet Обозревателе.	Веб-приложения, использующие элемент ActiveX справки HTML для включения межкадровой навигации, будут работать неправильно. Содержимое, которое должно появиться в другом кадре, появится в кадре, содержащем элемент ActiveX справки HTML.	896905 После установки обновления системы безопасности 896358 содержимое, которое должно отображаться в другом фрейме, отображается во фрейме, содержащем элемент ActiveX справки HTML
Не удается открыть файлы CHM из обозревателя Internet	Проблемы отсутствуют.	При открытии CHM-файла с помощью обозревателя Internet раздел не отображается. После сохранения CHM-файла с помощью обозревателя Internet у некоторых пользователей могут возникнуть проблемы с его открытием из-за защиты, обеспечиваемой диспетчером вложений.	902225 Невозможно открывать HTML-файлы справки из Internet Обозреватель после установки обновления для системы безопасности 896358 или Windows Server 2003 с пакетом обновления 1 (SP1)
Некоторые схемы URL-адресов игнорируются при использовании схем URL-адресов в параметрах элемента управления ActiveX справки в формате HTML.	В параметрах элемента управления ActiveX в HTML-справке была разрешена любая схема.	Все схемы, кроме следующих, игнорируются элементом ActiveX справки HTML: file, http, https, ftp, its, ms-its, mk:@msitstore, Hcp.	905215 Некоторые схемы URL-адресов игнорируются при использовании схем URL-адресов в параметрах элемента управления ActiveX справки в формате HTML после установки обновления для системы безопасности 896358

Подходы к решению проблем совместимости приложений в 896358 обновления для системы безопасности

Обновление безопасности 896358 поддерживает некоторые разделы реестра и записи реестра, которые можно использовать для обхода проблем совместимости приложений. Чтобы решить, какие изменения в реестре следует внести, используйте следующие вопросы:

Требуются ли вашей организации приложения или сценарии, на которые влияют изменения, описанные в этой статье?
- Сколько приложений затронуты изменениями? Насколько важны эти приложения?
- Насколько серьезна неисправность, вызванная изменениями?
- Можете ли вы изменить программы так, чтобы им не нужно было использовать функциональность справки HTML? Например, могут ли ваши сотрудники скачивать файлы CHM вместо того, чтобы запускать их из общего файлового ресурса? Может ли веб-приложение использовать оглавление DHTML вместо элемента ActiveX HTML Help?
Каковы требования безопасности и возможности вашей организации?
- Что более важно, используемая функциональность HTML Help или обеспечение максимальной надежности вашей безопасности.
- Вы рассматриваете возможность включения технологий справки HTML для использования в своей интрасети, как описано в следующих примерах? Если да, то дают ли вам внешние меры безопасности, такие как корпоративный брандмауэр, достаточную уверенность для того, чтобы следовать этому курсу? Доверяете ли вы своим сотрудникам настолько, чтобы не беспокоиться о том, что система внутри вашей организации может быть использована для атаки на другую?

Некоторые примеры работы с обновлением системы безопасности 896358

Предупреждение. Самый безопасный способ — вообще не использовать обходные пути реестра. При необходимости использовать обходные пути реестра, настраивайте их как можно более консервативно. Например, используйте следующие способы:

Вместо записи реестра MaxAllowedZone используйте запись реестра UrlAllowList. Установите UrlAllowList, чтобы включить как можно меньше сайтов.
Если необходимо использовать запись реестра MaxAllowedZone, установите значение MaxAllowedZone не выше необходимого. Присвоение параметру MaxAllowedZone значения 3 или выше подвергает ваши системы риску атак из Интернета.

После сбора сведений об использовании HTML-справки в вашей организации просмотрите следующие примеры, чтобы узнать, полезны ли они при создании стратегии применения обновлений безопасности 896358 в организации.

Пример консервативного подхода

Консервативный подход может сработать, если к вашей организации применимы следующие утверждения:

Нет известных веб-приложений, использующих технологию HTML Help.
Обеспечение максимально высокого уровня безопасности перевешивает требования к приложениям и сценариям, использующим HTML Help для правильной работы.
У вас есть веб-приложения, использующие технологию HTML Help, но владельцы этих приложений могут быстро модифицировать эти приложения для использования других технологий.
Для любых приложений и сценариев, требующих технологии HTML Help, вы знаете или можете быстро определить серверы приложений и общие файловые ресурсы, на которых они развернуты. Кроме того, вы можете обеспечить достаточную защиту для этих серверов приложений и общих файловых ресурсов.
Никто не должен открывать файлы CHM из удаленных расположений, таких как общие папки.

Следующий метод является одним из примеров консервативного подхода:

Примените 896358 обновления для системы безопасности. Затем используйте объект групповой политики для применения ограничений.

По умолчанию, если не изменить одну или несколько записей реестра после установки 896358 обновлений для системы безопасности, меры по устранению рисков в 896358 обновлений для системы безопасности будут максимально строгими. Однако можно использовать объект групповой политики, чтобы запретить отдельным пользователям ослаблять ограничения самостоятельно.

Следующий файл реестра максимально ограничивает меры безопасности в обновлении безопасности 896358:
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""
```
Если известно, что в вашей организации не используются веб-приложения, требующие справки в формате HTML, а пользователям в организации не требуется доступ к удаленным файлам .chm, на этом можно остановиться.
Изучите, как веб-приложения используют HTML-справку. Возможно, вы слышали от пользователей, что обновление затрагивает некоторые внутренние веб-приложения. Свяжитесь с владельцами этих веб-приложений и узнайте, могут ли они переработать функции, требующие технологии HTML Help. Если Web-приложения могут обойтись без технологии HTML Help, вы можете остановиться на этом.
Выборочное включение веб-приложений. Если вы обнаружите, что некоторые Web-приложения должны иметь возможность использовать функциональность HTML Help, вы можете выборочно повторно включить доступ к серверам, на которых размещены эти приложения. В следующем примере файла реестра повторно включаются элемент управления ActiveX HTML Help и протокол InfoTech для определенного сайта. В этом примере файла реестра также повторно включается межкадровая навигация с помощью элемента ActiveX HTML-справки.
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://contoso/salesapp/"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"="http://contoso/salesapp/"
```
Примечание. Пользователи по-прежнему не смогут открывать файлы CHM непосредственно по ссылке на веб-странице.
Дополнительные сведения об этой проблеме и способах ее решения см. в следующей статье базы знаний Майкрософт:
902225 Невозможно открывать HTML-файлы справки из Internet Обозреватель после установки обновления для системы безопасности 896358 или Windows Server 2003 с пакетом обновления 1 (SP1)

Пример менее консервативного подхода

Этот подход может оказаться полезным, если к вашей организации применимы некоторые из следующих утверждений:

Вы готовы пойти на дополнительный риск, чтобы избежать того, чтобы обновление системы безопасности 896358 отрицательно повлиять на ваши приложения.
Невозможно быстро определить все конкретные приложения и сценарии, для которых требуется технология справки HTML.
Веб-приложения, использующие технологию HTML Help, очень важны для вашей сферы деятельности. Кроме того, вы не можете быстро изменить эти приложения для использования других технологий.

Следующий метод является одним из примеров менее консервативного подхода:

Примените 896358 обновления для системы безопасности. Затем используйте объект групповой политики для применения ограничений.

Следующий пример файла реестра позволяет всем системам в интрасети обслуживать элементы ActiveX и содержимое HTML Help с помощью протокола InfoTech. В этом примере файла реестра также повторно включается межкадровая навигация с помощью элемента ActiveX HTML-справки.
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000001
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
"MaxAllowedZone"=dword:00000001
```
Примечание. Пользователи по-прежнему не смогут открывать файлы CHM непосредственно по ссылке на веб-странице.
Дополнительные сведения об этой проблеме и способах ее решения см. в следующей статье базы знаний Майкрософт:

902225 Невозможно открывать HTML-файлы справки из Internet Обозреватель после установки обновления для системы безопасности 896358 или Windows Server 2003 с пакетом обновления 1 (SP1)
Изучите, как веб-приложения используют HTML-справку. Определите, каким веб-приложениям требуется технология справки HTML. Свяжитесь с владельцами этих веб-приложений и узнайте, могут ли они переработать функции, требующие технологии HTML Help.
Настройте параметры справки HTML на основе исследований. Если исследование показывает, что веб-приложения больше не нуждаются в технологии HTML Help, вы можете развернуть следующий файл реестра, чтобы установить максимальные ограничения, поддерживаемые обновлением безопасности 896358:
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""
```
Если вы обнаружите, что некоторые Web-приложения должны использовать функциональность HTML Help, вы можете ограничить системы, которым разрешено использовать эту технологию. Следующий пример файла реестра ограничивает использование элемента управления ActiveX HTML Help и протокола InfoTech для определенных сайтов интрасети. Этот пример файла реестра также позволяет элементу ActiveX HTML Help перемещаться по фреймам.
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"
```

Записи реестра

В следующей таблице перечислены записи реестра справки HTML, обсуждаемые в этой статье. В таблице также приведена статья базы знаний Майкрософт, в которой вы найдете дополнительные сведения.

Value (Значение)	Статья базы знаний Майкрософт
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\MaxAllowedZone	892675 Некоторые функции справки по веб-сайтам и HTML могут не работать после установки 896358 обновления для системы безопасности или обновления для системы безопасности 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\UrlAllowList	892675 Некоторые функции справки по веб-сайтам и HTML могут не работать после установки 896358 обновления для системы безопасности или обновления для системы безопасности 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\EnableFrameNavigationInSafeMode	896905 После установки обновления системы безопасности 896358 содержимое, которое должно отображаться в другом фрейме, отображается во фрейме, содержащем элемент ActiveX справки HTML
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\MaxAllowedZone	896054 Невозможно открыть удаленное содержимое с помощью протокола InfoTech после установки обновления для системы безопасности 896358, обновления для системы безопасности 840315 или Windows Server 2003 с пакетом обновления 1 (SP1)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\UrlAllowList	896054 Невозможно открыть удаленное содержимое с помощью протокола InfoTech после установки обновления для системы безопасности 896358, обновления для системы безопасности 840315 или Windows Server 2003 с пакетом обновления 1 (SP1)

Зоны безопасности обозревателя Интернета

Для получения дополнительных сведений об использовании зон безопасности в обозревателе Internet щелкните следующий номер статьи в базе знаний Майкрософт:

174360 Использование зон безопасности в обозревателе Internet

Групповая политика

Дополнительные сведения о групповой политике см. на следующих веб-сайтах корпорации Майкрософт:

Коллекция групповых политик
http://technet.microsoft.com/en-us/library/cc779838(WS.10).aspx
Редактор объектов групповой политики
http://technet.microsoft.com/en-us/library/cc737816(WS.10).aspx
Основные средства и параметры групповой политики
http://technet.microsoft.com/en-us/library/cc784165(WS.10).aspx

Корпорация Майкрософт предоставляет примеры программирования только для иллюстрации, без явных или подразумеваемых гарантий. Это включает подразумеваемые гарантии товарного состояния или пригодности для конкретной цели, но не ограничивается ими. В этой статье предполагается, что вы знакомы с демонстрируемым языком программирования и инструментами, используемыми для создания и отладки процедур. Инженеры службы поддержки Майкрософт могут помочь объяснить функциональность конкретной процедуры, но они не будут изменять эти примеры для предоставления дополнительных функциональных возможностей или создания процедур для удовлетворения ваших конкретных требований.

Техническая поддержка 64-разрядных версий Microsoft Windows

На компьютерах под управлением 64-разрядных версий Microsoft Windows вам может потребоваться изменить инструкции по изменению реестра в разделе "Решение". Например, может потребоваться изменить другую часть реестра, в зависимости от функциональности 32- или 64-разрядной версии. Для просмотра статьи в базе знаний Майкрософт щелкните следующий номер статьи:

Изменения реестра 896459 для 64-разрядных (x64) версий Windows Server 2003 и в Windows XP Professional x64 Edition

Изготовитель оборудования предоставляет техническую поддержку и помощь для 64-разрядных (x64) версий Windows. Изготовитель оборудования предоставляет поддержку, так как в комплект поставки оборудования входит 64-разрядная версия Windows. Производитель оборудования мог настраивать установку Windows с помощью уникальных компонентов. Уникальные компоненты могут включать определенные драйверы устройств или дополнительные параметры для повышения производительности оборудования. Если вам нужна техническая помощь с 64-разрядной версией Windows, Microsoft предоставит разумные усилия. Однако может потребоваться обратиться непосредственно к производителю. Ваш производитель лучше всего подходит для поддержки программного обеспечения, установленного на оборудовании.

Сведения о продукте Microsoft Windows XP Professional x64 Edition см. на следующем веб-сайте корпорации Майкрософт:

http://www.microsoft.com/windowsxp/64bit/default.mspx Для получения информации о 64-разрядных версиях Microsoft Windows Server 2003 посетите следующий веб-сайт Microsoft:

http://www.microsoft.com/windowsserver2003/64bit/x64/editions.mspx