MS05-026: Уязвимость в элементе управления HTML Help делает возможным удаленный запуск программного кода

Примеры устранения проблем, возникающих после установки обновления безопасности 896358

Предупреждение. Для максимальной безопасности не рекомендуется вносить изменения в реестр. Если эти изменения необходимы, используйте их как можно аккуратней. Например, используйте следующие методы:

• Вместо MaxAllowedZone используйте параметр реестра UrlAllowList. Настройте UrlAllowList на поддержку минимально возможного числа узлов.

• Если необходимо использовать параметр MaxAllowedZone, не устанавливайте значение, превышающее допустимое. При установке значения 3 или выше системы подвергаются риску атак из Интернета.

Соберите сведения об использовании в организации возможностей HTML-справки, изучите приведенные ниже примеры и определите, можно ли на основе данных примеров разработать стратегию безопасности с учетом изменений, вносимых обновлением 896358.

Высокий уровень безопасности

Данный подход можно использовать, если в организации выполняются следующие условия:

• Отсутствуют веб-приложения, использующие HTML-справку.

• Обеспечение максимального уровня безопасности является более важным требованием, чем сохранение работоспособности приложений и сценариев, использующих HTML-справку.

• В организации применяются веб-приложения, использующие HTML-справку, однако разработчики этих приложений могут быстро внести изменения, в результате чего приложения будут использовать другую технологию.

• Для всех приложений и сценариев, использующих HTML-справку, известны или могут быть быстро определены серверы приложений и общие файловые ресурсы, на которых они развернуты. Для соответствующих серверов приложений и файловых ресурсов может быть обеспечен необходимый уровень защиты.

• Пользователям не нужно открывать файлы CHM, находящиеся на удаленных ресурсах (например, в общих папках в сети).

Следующий метод является примером высокого уровня безопасности.

1. Установите обновление безопасности 896358. Затем примените ограничения с помощью объекта групповой политики.
   
   Если на компьютере не изменены значения рассматриваемых в данной статье параметров реестра, обновление безопасности 896358 по умолчанию устанавливает максимальные ограничения. Чтобы предотвратить самостоятельное снятие ограничений пользователями, воспользуйтесь групповой политикой.
   
   Следующий файл реестра устанавливает для обновления безопасности 896358 максимальные ограничения:

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] 
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"=""

   Если в организации не применяются веб-приложения, использующие HTML-справку, а пользователям организации не нужно открывать удаленные файлы CHM, дальнейшие шаги можно пропустить.

2. Проанализируйте использование HTML-справки в веб-приложениях. Если пользователи сообщают, что установка обновления безопасности 896358 нарушила работу некоторых внутренних веб-приложений, обратитесь к разработчикам указанных приложений и выясните, можно ли изменить эти приложения таким образом, чтобы в них не использовалась HTML-справка. Если веб-приложения способны работать, не используя HTML-справку, дальнейшие шаги можно пропустить.

3. Разрешите использование определенных веб-приложений. Если какие-либо веб-приложения должны использовать HTML-справку, можно выборочно включить доступ к серверам, на которых размещаются эти приложения. Следующий файл реестра разрешает использование элемента управления ActiveX HTML Help и протокола InfoTech для определенного узла. Кроме того, данный файл разрешает использование переходов между рамками с помощью элемента управления ActiveX HTML Help.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] 
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://contoso/salesapp/"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://contoso/salesapp/"

   Примечание. Пользователи все равно не смогут открывать файлы CHM непосредственно с помощью ссылки на веб-странице.
   Для получения дополнительных сведений о данной проблеме и методах ее обхода щелкните следующий номер статьи базы знаний Майкрософт:

   902225 После установки обновления безопасности 896358 или пакета обновления 1 (SP1) для Windows Server 2003 не удается открыть файлы справки HTML с помощью Internet Explorer
   
   

Менее высокий уровень безопасности

Данный подход можно использовать, если в организации выполняются следующие условия:

• Организация готова пойти на риск снижения безопасности, чтобы устранить отрицательное влияние обновления 896358 на работоспособность приложений.

• В организации не удается выявить все приложения и сценарии, использующие HTML-справку.

• Веб-приложения, использующие HTML-справку, критически важны для работы организации и не могут быть изменены таким образом, чтобы не использовать HTML-справку.

Следующий метод является примером менее высокого уровня безопасности.

1. Установите обновление безопасности 896358. Затем примените ограничения с помощью объекта групповой политики.
   
   Следующий файл реестра разрешает всем системам в интрасети обрабатывать элементы управления ActiveX HTML Help и содержимое, используя протокол InfoTech. Кроме того, данный файл разрешает использование переходов между рамками с помощью элемента управления ActiveX HTML Help.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] 
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000001
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000001

   Примечание. Пользователи все равно не смогут открывать файлы CHM непосредственно с помощью ссылки на веб-странице.
   Для получения дополнительных сведений о данной проблеме и методах ее обхода щелкните следующий номер статьи базы знаний Майкрософт:
   
   

   902225 После установки обновления безопасности 896358 или пакета обновления 1 (SP1) для Windows Server 2003 не удается открыть файлы справки HTML с помощью Internet Explorer
   
   

2. Проанализируйте использование HTML-справки в веб-приложениях и составьте список приложений, которым она необходима. Обратитесь к разработчикам указанных приложений и выясните, можно ли изменить эти приложения таким образом, чтобы в них не использовалась HTML-справка.

3. Исходя из результатов анализа, измените стратегию использования HTML-справки. Если в результате анализа будет определено, что веб-приложения больше не нуждаются в HTML-справке, можно использовать следующий файл реестра, чтобы установить максимальные ограничения, поддерживаемые обновлением безопасности 896358:

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] 
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"=""

   Если некоторые веб-приложения должны использовать HTML-справку, можно ограничить перечень узлов, которые могут использовать данную технологию. Следующий файл реестра разрешает использование элемента управления ActiveX HTML Help и протокола InfoTech только на определенных узлах интрасети. Этот пример файла реестра также позволяет элементу управления ActiveX HTML Help перемещаться между рамками.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] 
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

Записи реестра

В следующей таблице перечислены записи реестра HTML Help, описываемые в этой статье, а также статьи базы знаний Майкрософт, содержащие дополнительные сведения.