MS05-026: уязвимость в справке HTML может привести к удаленному выполнению кода

Применяется к

Microsoft Windows Server 2003 Service Pack 1 Microsoft Windows XP Professional x64 Edition

Сводка

Корпорация Майкрософт выпустила бюллетень по безопасности MS05-026. Бюллетень по безопасности содержит все необходимые сведения об обновлении для системы безопасности. Сюда входят сведения о файлах и параметры развертывания. Полный бюллетень по безопасности см. на следующих веб-сайтах Майкрософт:

Домашним пользователям.
http://www.microsoft.com/protect/computer/updates/bulletins/default.mspx
ИТ-специалисты:
http://www.microsoft.com/technet/security/bulletin/ms05-026.mspx

Известные проблемы

После установки обновления для системы безопасности 896358 некоторые типы веб-приложений могут работать неправильно. Например, оглавление справки HTML может больше не работать. Кроме того, некоторые функции справки HTML, такие как функция "Связанные разделы", могут не работать при открытии CHM-файла из удаленного расположения.
Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:
892675 некоторые веб-сайты и функции справки HTML могут не работать после установки обновления системы безопасности 896358 или обновления системы безопасности 890175
После установки обновления для системы безопасности 896358 функции некоторых веб-приложений больше не работают правильно. Например, раздел может не отображаться при переходе по ссылке. Кроме того, при попытке использовать UNC-путь для открытия CHM-файла, который находится в общей сетевой папке, разделы в CHM-файле могут не отображаться. Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:
896054 После установки 896358 обновления для системы безопасности, 840315 или Windows Server 2003 с пакетом обновления 1 (SP1) нельзя открыть удаленное содержимое с помощью протокола InfoTech.
После установки обновления для системы безопасности 896358 веб-приложения, использующие элемент ActiveX html Help (HHCTRL) для включения навигации между кадрами, могут не работать. Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:
896905 После установки обновления для системы безопасности 896358 содержимое, которое должно отображаться в другом фрейме, отображается в кадре, который содержит элемент activeX справки HTML
После установки обновления системы безопасности 896358 могут возникнуть проблемы с открытием HTML-файла справки из гиперссылки в Интернете Обозреватель.
Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:
902225 После установки обновления для системы безопасности 896358 или Windows Server 2003 с пакетом обновления 1 (SP1) из Интернета невозможно открыть файлы справки HTML из Обозреватель Интернета
После установки обновления для системы безопасности 896358 элемент activeX для HTML-справки больше не будет принимать определенные типы URL-адресов в параметрах. Для получения дополнительных сведений об этой проблеме щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:
905215 Некоторые схемы URL-адресов игнорируются при использовании схем URL-адресов в параметрах элемента ActiveX справки HTML после установки обновления для системы безопасности 896358

Дополнительные сведения о последнем пакете обновления для Windows Server 2003 г., щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:

889100 Получение последнего пакета обновления для Windows Server 2003

Что попробовать

Изменения в справке по HTML в 896358 обновления для системы безопасности

Предупреждение. В этой статье содержатся сведения о том, как обойти проблемы, вызванные развертыванием обновления для системы безопасности 896358. Однако корпорация Майкрософт не дает никаких рекомендаций о том, какие разделы и значения реестра являются подходящими для вашей организации. Ваш ИТ-отдел является лучшим судьей о том, как взвесить преимущества этих обходных решений с рисками их использования. Самый безопасный курс заключается в том, чтобы вообще не использовать обходные решения реестра.

Ниже приведены краткие объяснения того, как обновление 896358 может повлиять на веб-приложения.

Проблема	Поведение до 896358 обновления для системы безопасности	Поведение после 896358 обновления системы безопасности	Статья базы знаний Майкрософт с дополнительными сведениями и обходными решениями
Доступ к удаленному содержимому запрещен по протоколу InfoTech	Протокол InfoTech может отображать удаленное содержимое, за исключением Windows Server 2003 с пакетом обновления 1 (SP1), где это отображение было заблокировано.	Все операционные системы не могут использовать протокол InfoTech для отображения удаленного содержимого.	896054 После установки 896358 обновления для системы безопасности, 840315 или Windows Server 2003 с пакетом обновления 1 (SP1) нельзя открыть удаленное содержимое с помощью протокола InfoTech.
Использование элемента ActiveX справки HTML заблокировано в удаленном содержимом	Обновление безопасности 890175 заблокировало использование элемента ActiveX справки ПО HTML в удаленном содержимом, которое отображается в приложении, отличном от HTML-справки. Например, элемент управления заблокирован в интернет-Обозреватель.	Элемент activeX html Help теперь также заблокирован в приложении справки HTML.	892675 некоторые веб-сайты и функции справки HTML могут не работать после установки обновления системы безопасности 896358 или обновления системы безопасности 890175
Использование элемента ActiveX справки HTML для отображения содержимого в другом фрейме заблокировано	Обновление безопасности 890175 заблокировало использование элемента ActiveX справки ПО HTML в удаленном содержимом, которое отображается в приложении, отличном от HTML-справки. Например, элемент управления был заблокирован в интернет-Обозреватель.	Веб-приложения, использующие элемент ActiveX справки HTML для включения навигации между кадрами, будут работать неправильно. Содержимое, которое должно отображаться в другом фрейме, отображается во фрейме, который содержит элемент activeX справки HTML.	896905 После установки обновления для системы безопасности 896358 содержимое, которое должно отображаться в другом фрейме, отображается в кадре, который содержит элемент activeX справки HTML
CHM-файлы не могут быть открыты из Интернета Обозреватель	Проблемы отсутствуют.	Если вы используете интернет-Обозреватель для открытия CHM-файла, раздел не отображается. После использования Обозреватель Интернета для сохранения CHM-файла некоторые пользователи могут столкнуться с некоторыми проблемами при открытии файла из-за защиты диспетчера вложений.	902225 После установки обновления для системы безопасности 896358 или Windows Server 2003 с пакетом обновления 1 (SP1) из Интернета невозможно открыть файлы справки HTML из Обозреватель Интернета
Некоторые схемы URL-адресов игнорируются при использовании схем URL-адресов в параметрах элемента ActiveX справки HTML.	Любая схема была разрешена в параметрах элемента управления ActiveX справки HTML.	Все схемы, кроме следующих, игнорируются элементом activeX справки HTML: file, https, ftp, its, ms-its, mk:@msitstore, Hcp.	905215 Некоторые схемы URL-адресов игнорируются при использовании схем URL-адресов в параметрах элемента ActiveX справки HTML после установки обновления для системы безопасности 896358

Подходы к решению проблем совместимости приложений в обновлении безопасности 896358

Обновление системы безопасности 896358 поддерживает некоторые разделы реестра и записи реестра, которые можно использовать для устранения проблем совместимости приложений. Используйте следующие вопросы, чтобы решить, какие изменения реестра следует внести:

Требуются ли в вашей организации приложения или сценарии, на которые влияют изменения, описанные в этой статье?
- Сколько приложений затронуто изменениями? Насколько важны эти приложения?
- Насколько серьезной является неисправность, вызванная изменениями?
- Можно ли изменить программы, чтобы им не нужно было использовать функции справки HTML? Например, могут ли ваши сотрудники скачивать CHM-файлы вместо того, чтобы запускать их из общей папки? Может ли веб-приложение использовать оглавление DHTML вместо элемента ActiveX справки HTML?
Каковы требования к безопасности и возможности вашей организации?
- Что еще важнее, функциональность справки HTML, которую вы используете, или обеспечение максимальной безопасности.
- Вы планируете включить технологии справки HTML для использования в интрасети, как описано в следующих примерах? Если вы, внешние меры безопасности, такие как корпоративный брандмауэр, дают вам достаточную уверенность, чтобы следовать этому курсу? Доверяете ли вы своим сотрудникам настолько, что не беспокоитесь о том, что система внутри организации будет использоваться для атаки на другую?

Некоторые примеры работы с обновлением системы безопасности 896358

Предупреждение. Самый безопасный курс — вообще не использовать обходных решений реестра. Если необходимо использовать обходные решения реестра, настройте их как можно более консервативно. Например, используйте следующие методы:

Вместо записи реестра MaxAllowedZone используйте запись реестра UrlAllowList. Задайте urlAllowList, чтобы включить как можно меньше сайтов.
Если необходимо использовать запись реестра MaxAllowedZone, задайте параметр MaxAllowedZone не выше, чем необходимо. Если параметр MaxAllowedZone задано значение 3 или более поздней, система будет подвергаться атакам из Интернета.

После сбора сведений об использовании в организации справки по HTML просмотрите приведенные ниже примеры, чтобы узнать, полезны ли они для создания стратегии, которую можно использовать при применении обновлений безопасности 896358 в организации.

Пример консервативного подхода

Консервативный подход может сработать, если к вашей организации применяются следующие утверждения:

Нет известных веб-приложений, использующих технологию справки HTML.
Обеспечение максимальной безопасности перевешивает требования к приложениям и сценариям, которые используют справку HTML для правильной работы.
У вас есть веб-приложения, использующие технологию справки HTML, но владельцы этих приложений могут быстро изменить эти приложения для использования других технологий.
Для любых приложений и сценариев, для которых требуется технология справки HTML, вы знаете или можете быстро определить серверы приложений и общие папки, на которых они развернуты. Кроме того, можно обеспечить достаточную защиту для этих серверов приложений и общих папок.
Никому не нужно открывать CHM-файлы из удаленных расположений, например из общих папок.

Следующий метод является одним из примеров консервативного подхода:

Примените 896358 обновления для системы безопасности. Затем используйте объект групповая политика для применения ограничений.

По умолчанию, если не изменить одну или несколько записей реестра после установки обновления для системы безопасности 896358, устранение рисков в 896358 обновления системы безопасности будет максимально ограниченным. Однако можно использовать объект групповая политика, чтобы запретить отдельным пользователям ослабить ограничения.

В следующем файле реестра сведения об устранении рисков в обновлении безопасности 896358 как можно более строгими:
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""
```
Если вы знаете, что в вашей организации нет веб-приложений, требующих справки ПО HTML, а пользователям в вашей организации не требуется доступ к удаленным CHM-файлам, вы можете остановиться здесь.
Узнайте, как веб-приложения используют справку HTML. Возможно, вы слышали от пользователей, что обновление влияет на некоторые внутренние веб-приложения. Обратитесь к владельцам этих веб-приложений и узнайте, могут ли они перенаправить функции, для которых требуется технология справки HTML. Если веб-приложения могут обойтись без технологии справки HTML, можно остановиться здесь.
Выборочное включение веб-приложений. Если вы обнаружите, что некоторые веб-приложения должны иметь возможность использовать функции справки ПО HTML, вы можете выборочно повторно включить доступ к серверам, на которых размещаются эти приложения. В следующем примере файла реестра повторно включается элемент activeX справки HTML и протокол InfoTech для определенного сайта. В этом примере файла реестра также повторно включается навигация между кадрами с помощью элемента ActiveX справки HTML.
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://contoso/salesapp/"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"="http://contoso/salesapp/"
```
Примечание. Пользователи по-прежнему не могут открывать CHM-файлы непосредственно по ссылке на веб-странице.
Дополнительные сведения об этой проблеме и ее решениях см. в следующем номере статьи в базе знаний Майкрософт:
902225 После установки обновления для системы безопасности 896358 или Windows Server 2003 с пакетом обновления 1 (SP1) из Интернета невозможно открыть файлы справки HTML из Обозреватель Интернета

Пример менее консервативного подхода

Этот подход может хорошо работать, если некоторые из следующих утверждений применимы к вашей организации:

Вы готовы пойти на дополнительный риск, чтобы избежать 896358 обновления системы безопасности негативно повлиять на ваши приложения.
Невозможно быстро определить все конкретные приложения и сценарии, для которых требуется технология справки HTML.
Веб-приложения, использующие технологию справки HTML, очень важны для вашей бизнес-сферы. Кроме того, вы не можете быстро изменить эти приложения для использования других технологий.

Следующий метод является одним из примеров менее консервативного подхода:

Примените 896358 обновления для системы безопасности. Затем используйте объект групповая политика для применения ограничений.

Следующий пример файла реестра позволяет всем системам в интрасети обслуживать элемент activeX и содержимое Html Help с помощью протокола InfoTech. В этом примере файла реестра также повторно включается навигация между кадрами с помощью элемента ActiveX справки HTML.
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000001
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
"MaxAllowedZone"=dword:00000001
```
Примечание. Пользователи по-прежнему не могут открывать CHM-файлы непосредственно по ссылке на веб-странице.
Дополнительные сведения об этой проблеме и ее решениях см. в следующем номере статьи в базе знаний Майкрософт:

902225 После установки обновления для системы безопасности 896358 или Windows Server 2003 с пакетом обновления 1 (SP1) из Интернета невозможно открыть файлы справки HTML из Обозреватель Интернета
Узнайте, как веб-приложения используют справку HTML. Определите, для каких веб-приложений требуется технология справки HTML. Обратитесь к владельцам этих веб-приложений и узнайте, могут ли они перенаправить функции, для которых требуется технология справки HTML.
Настройка параметров справки HTML на основе исследований. Если исследование показывает, что веб-приложениям больше не требуется технология справки HTML, можно развернуть следующий файл реестра, чтобы установить максимальные ограничения, поддерживаемые обновлением для системы безопасности 896358:
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""
```
Если вы обнаружите, что некоторые веб-приложения должны использовать функции справки ПО HTML, вы можете ограничить системы, которые включены для использования этой технологии. В следующем примере файла реестра ограничивается использование элемента ActiveX справки HTML и протокола InfoTech для определенных сайтов интрасети. Этот пример файла реестра также по-прежнему позволяет элементу ActiveX HTML Help перемещаться по кадрам.
```
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"
```

Записи реестра

В следующей таблице перечислены записи реестра справки HTML, которые рассматриваются в этой статье. В таблице также приведена статья базы знаний Майкрософт, которую можно просмотреть для получения дополнительных сведений.

Value (Значение)	Статья базы знаний Майкрософт
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\MaxAllowedZone	892675 некоторые веб-сайты и функции справки HTML могут не работать после установки обновления системы безопасности 896358 или обновления системы безопасности 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\UrlAllowList	892675 некоторые веб-сайты и функции справки HTML могут не работать после установки обновления системы безопасности 896358 или обновления системы безопасности 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\EnableFrameNavigationInSafeMode	896905 После установки обновления для системы безопасности 896358 содержимое, которое должно отображаться в другом фрейме, отображается в кадре, который содержит элемент activeX справки HTML
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\MaxAllowedZone	896054 После установки 896358 обновления для системы безопасности, 840315 или Windows Server 2003 с пакетом обновления 1 (SP1) нельзя открыть удаленное содержимое с помощью протокола InfoTech.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\UrlAllowList	896054 После установки 896358 обновления для системы безопасности, 840315 или Windows Server 2003 с пакетом обновления 1 (SP1) нельзя открыть удаленное содержимое с помощью протокола InfoTech.

Зоны безопасности Обозреватель Интернета

Дополнительные сведения об использовании зон безопасности в Интернет-Обозреватель щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:

174360 Использование зон безопасности в Интернете Обозреватель

Групповая политика

Дополнительные сведения о групповая политика см. на следующих веб-сайтах Майкрософт:

коллекция групповая политика
http://technet.microsoft.com/en-us/library/cc779838(WS.10).aspx
Редактор объектов групповая политика
http://technet.microsoft.com/en-us/library/cc737816(WS.10).aspx
Основные средства и параметры групповая политика
http://technet.microsoft.com/en-us/library/cc784165(WS.10).aspx

Корпорация Майкрософт предоставляет примеры программирования только для иллюстрации, без явных или подразумеваемых гарантий. Это включает подразумеваемые гарантии товарного состояния или пригодности для конкретной цели, но не ограничивается ими. В этой статье предполагается, что вы знакомы с демонстрируемым языком программирования и инструментами, используемыми для создания и отладки процедур. Инженеры службы поддержки Майкрософт могут помочь объяснить функциональность конкретной процедуры, но они не будут изменять эти примеры, чтобы предоставить дополнительные функциональные возможности или создать процедуры в соответствии с вашими конкретными требованиями.

Техническая поддержка для 64-разрядных версий Microsoft Windows

На компьютерах под управлением 64-разрядных версий Microsoft Windows может потребоваться адаптировать инструкции в разделе "Разрешение" о том, как изменить реестр. Например, может потребоваться изменить другую часть реестра в зависимости от того, хотите ли вы изменить 32-разрядную или 64-разрядную функциональность. Для получения дополнительных сведений щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:

896459 изменения реестра в 64-разрядных версиях Windows Server 2003 и Windows XP Professional x64 Edition

Производитель оборудования предоставляет техническую поддержку и помощь для 64-разрядных версий Windows. Изготовитель оборудования обеспечивает поддержку, так как в состав вашего оборудования была включена версия Windows на базе x64. Возможно, изготовитель оборудования настроил установку Windows с помощью уникальных компонентов. Уникальные компоненты могут включать определенные драйверы устройств или включать необязательные параметры для повышения производительности оборудования. Корпорация Майкрософт предоставит необходимую помощь, если вам нужна техническая помощь с вашей 64-разрядной версией Windows. Однако может потребоваться связаться с производителем напрямую. Производитель лучше всего подходит для поддержки программного обеспечения, установленного производителем на оборудовании.

Сведения о продукте Microsoft Windows XP Professional x64 Edition см. на следующем веб-сайте Майкрософт:

http://www.microsoft.com/windowsxp/64bit/default.mspx Сведения о продуктах для 64-разрядных версий Microsoft Windows Server 2003 см. на следующем веб-сайте Майкрософт:

http://www.microsoft.com/windowsserver2003/64bit/x64/editions.mspx