MS05-026: Ett säkerhetsproblem i HTML Help möjliggör fjärrkörning av kod

Sammanfattning

Microsoft har publicerat säkerhetsbulletinen MS05-026 med all relevant information om säkerhetsuppdateringen. Bulletinen innehåller bland annat filinformation och distributionsalternativ. Du hittar hela säkerhetsbulletinen på följande Microsoft-webbplatser:

Hemanvändare:

http://technet.microsoft.com/sv-se/security/ff628438
Teknisk IT-personal:

http://technet.microsoft.com/en-us/security/bulletin/ms05-026

Kända problem

Efter installationen av säkerhetsuppdatering 896358 är det inte säkert att vissa webbaserade tillämpningar fungerar som de ska. Till exempel kan en innehållsförteckning i HTML Help sluta fungera. Vissa funktioner i HTML Help, till exempel Relaterade avsnitt, kanske inte heller fungerar om CHM-filen öppnas från en annan dator. Om du vill veta mer om det här problemet klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

892675 Vissa webbplatser och funktioner i HTML-hjälpsystemet fungerar inte efter installation av säkerhetsuppdatering 896358 eller säkerhetsuppdatering 890175
Funktionerna i vissa webbtillämpningar slutar att fungera efter installation av säkerhetsuppdatering 896358. Det kan till exempel hända att en sida inte visas om du klickar på en länk. Dessutom, om du försöker ange en UNC-sökväg (Universal Naming Convention) för att öppna en CHM-fil på en delad nätverksresurs, visas eventuellt inte avsnitten i CHM-filen. Om du vill veta mer om det här problemet klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

896054 Det går inte att öppna fjärrinnehåll genom att använda protokollet InfoTech efter att säkerhetsuppdatering 896358, säkerhetsuppdatering 840315 eller Windows Server 2003 Service Pack 1
Efter installation av säkerhetsuppdateringen 896358 kanske vissa webbprogram som använder ActiveX-kontrollen för HTML Help (HHCTRL) för att kunna navigera mellan olika ramar inte längre fungerar. Om du vill veta mer om det här problemet klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

896905 Efter installation av säkerhetsuppdateringen 896358 visas innehåll som borde visas i en annan ram i den ram där ActiveX-kontrollen för HTML-Help visas
Efter att du har installerat säkerhetsuppdatering 896358 kan du få problem med att öppna en HTML-hjälpfil med en länk i Internet Explorer. Om du vill veta mer om det här problemet klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

902225 Det går inte att öppna HTML-hjälpfiler från Internet Explorer efter att du har installerat säkerhetsuppdatering 896358 eller Windows Server 2003 Service Pack 1
Efter att du har installerat säkerhetsuppdatering 896358 accepterar ActiveX-kontrollen HTML Help inte längre vissa URL-adresser som parametrar. Om du vill veta mer om det här problemet klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

905215 Vissa URL-scheman ignoreras när du använder URL-scheman i parametrarna för en ActiveX-kontroll för HTML-hjälp när du har installerat säkerhetsuppdatering 896358

Om du vill veta mer om den senaste Service Pack-versionen för Windows Server 2003 klickar du på artikelnumret nedan och läser artikeln i Microsoft Knowledge Base:

889100 Skaffa den senaste Service Pack-versionen för Windows Server 2003

Saker Att Prova

Förändringar av HTML-hjälpen i säkerhetsuppdatering 896358

Varning! Den här artikeln innehåller information om hur du undviker problem som orsakas av att säkerhetsuppdatering 896358 har installerats, men Microsoft utfärdar inga rekommendationer om vilka registernycklar och värden som är de bästa för din organisation. IT-avdelningen har antagligen bäst kompetens för att väga lösningarnas fördelar mot riskerna med att använda dem. Det säkraste tillvägagångssättet är att inte ändra Registret över huvud taget.Nedan följer en kortfattad förklaring av hur uppdateringen 896358 kan påverka webbtillämpningar.

Problem	Funktion innan säkerhetsuppdateringen 896358 installerades	Funktion efter att säkerhetsuppdateringen 896358 installerades	En Microsoft Knowledge Base-artikel som innehåller mer information och sätt att kringgå problemet
InfoTech-protokollet hindras att komma åt material från andra datorer	InfoTech-protokollet kunde visa material från andra datorer förutom i Windows Server 2003 Service Pack 1 (SP1), där detta var förbjudet.	Alla operativsystem hindras från att använda InfoTech-protokollet för att visa material från andra datorer.	896054 Det går inte att öppna fjärrinnehåll genom att använda protokollet InfoTech efter att säkerhetsuppdatering 896358, säkerhetsuppdatering 840315 eller Windows Server 2003 Service Pack 1
Det går inte att använda ActiveX-kontrollen för HTML Help i material från andra datorer	Säkerhetsuppdatering 890175 gjorde det omöjligt att använda ActiveX-kontrollen för HTML Help i material från andra datorer som visas i andra program än HTML Help. Kontrollen går till exempel inte att använda i Internet Explorer.	ActiveX-kontrollen för HTML Help går nu heller inte att använda i HTML Help.	892675 Vissa webbplatser och funktioner i HTML-hjälpsystemet fungerar inte efter installation av säkerhetsuppdatering 896358 eller säkerhetsuppdatering 890175
Det går inte att visa material i en annan ram med hjälp av ActiveX-kontrollen för HTML Help	Säkerhetsuppdatering 890175 gjorde det omöjligt att använda ActiveX-kontrollen för HTML Help i material från andra datorer som visas i andra program än HTML Help. Det gick till exempel inte att använda kontrollen i Internet Explorer.	Webbtillämpningar som utnyttjar ActiveX-kontrollen för HTML Help för att göra det möjligt att navigera mellan ramar fungerar inte som de borde. Materialet som borde visas i en annan ram visas i stället i ramen där ActiveX-kontrollen för HTML Help visas.	896905 Efter installation av säkerhetsuppdateringen 896358 visas innehåll som borde visas i en annan ram i den ram där ActiveX-kontrollen för HTML-Help visas
CHM-filer kan inte öppnas från Internet Explorer	Inget problem.	När du använder Internet Explorer för att öppna en CHM-fil visas inga avsnitt. Efter att du använder Internet Explorer för att spara en CHM-fil får vissa användare problem med att öppna filerna eftersom det finns begränsningar i komponenten Hantering av bifogade filer.	902225 Det går inte att öppna HTML-hjälpfiler från Internet Explorer efter att du har installerat säkerhetsuppdatering 896358 eller Windows Server 2003 Service Pack 1
Vissa URL-scheman ignoreras om du använder URL-adresser som parameter till HTML Help-kontrollen.	Alla scheman var tillåtna i HTML-parametrar till HTML Help-kontrollen.	Alla scheman utom följande ignoreras av ActiveX-kontrollen HTML Help: file, http, https, ftp, its, ms-its, mk:@msitstore, Hcp.	905215 Vissa URL-scheman ignoreras när du använder URL-scheman i parametrarna för en ActiveX-kontroll för HTML-hjälp när du har installerat säkerhetsuppdatering 896358

Olika sätt att undvika kompatibilitetsproblem med program i säkerhetsuppdatering 896358

Säkerhetsuppdatering 896358 stöder vissa registernycklar och registerposter som du kan använda för att lösa kompatibilitetsproblem med program. Utgå från frågorna här nedan för att bestämma vad du ska ändra i registret:

Finns det några verksamhetscentrala program eller scenarier som påverkas av ändringarna som beskrivs i den här artikeln?
- Hur många program påverkas av ändringarna? Hur viktiga är dessa program?
- Hur svårartat är problemet som orsakas av ändringarna?
- Kan du ändra programmen så att de inte utnyttjar funktionerna i HTML Help? Kan användarna hämta CHM-filer i stället för att öppna dem från resurser, till exempel? Kan ett webbprogram ha en innehållsförteckning i DHTML-format i stället för att utnyttja ActiveX-kontrollen för HTML Help?
Vilka säkerhetskrav ställer din organisation och vad är dess kapacitet i säkerhetshänseende?
- Vad är viktigast, funktionerna i HTML Help som du använder eller att se till att säkerheten är den bästa möjliga?
- Funderar du på att använda HTML-hjälp i organisationens intranät, enligt vad som beskrivs i följande exempel? Om du gör det, kan externa säkerhetsmekanismer (t.ex en brandvägg) ge systemet tillräckligt skydd? Litar du så mycket på personalen att du inte oroar dig för att ett system inom organisationen används för att angripa ett annat?

Några exempel på arbete med säkerhetsuppdatering 896358

Varning! Det säkraste tillvägagångssättet är att inte ändra registret över huvud taget. Om du måste ändra i Registret bör du använda så restriktiva inställningar som möjligt. Använd till exempel följande metoder:

Använd registerposten UrlAllowList i stället för posten MaxAllowedZone. Tillåt så få webbplatser som möjligt med UrlAllowList.
Om du måste använda posten MaxAllowedZone bör du inte använda ett högre värde än du absolut behöver. Om du anger MaxAllowedZone till 3 eller högre kan systemet angripas från Internet.

När du har inhämtat uppgifter om hur organisationen använder HTML Help, kan du gå igenom exemplen här nedan och se om de kan vara dig till hjälp i att formulera en ny strategi att utgå från när du installerar säkerhetsuppdatering 896358 i organisationen.

Ett exempel på en försiktig metod

En försiktig metod skulle kunna fungera om följande påstående gäller din organisation:

Det finns inga kända webbprogram som utnyttjar HTML Help-teknik.
Så god säkerhet som möjligt är viktigare än kraven för program och scenarier som kräver HTML Help för att fungera.
Du har webbprogram där du utnyttjar HTML Help-teknik, men upphovsmännen till programmen kan skriva om dem och använda andra tekniker.
Du känner redan till eller kan snabbt identifiera programservrar och filresurser där eventuella program och scenarier som kräver HTML Help-teknik finns. Du kan även skydda programservrarna och filresurserna på lämpligt sätt.
Ingen behöver öppna CHM-filer från andra datorer, till exempel från filresurser.

Följande metod är ett exempel på ett försiktigt tillvägagångssätt:

Installera säkerhetsuppdatering 896358. Använd sedan ett grupprincipobjekt för att införa restriktioner.Om du inte ändrar något av registervärdena efter att du har installerat säkerhetsuppdatering 896358 är ändringarna som orsakas av uppdateringen så restriktiva som möjligt. Du kan emellertid använda ett grupprincipobjekt för att hindra enskilda användare från att själva lyfta vissa av begränsningarna.Följande registerfil gör de säkerhetsbegränsningar som säkerhetsuppdatering 896358 medför så restriktiva som möjligt:
REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions] "MaxAllowedZone"=dword:00000000 "UrlAllowList"="" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] "MaxAllowedZone"=dword:00000000 "UrlAllowList"=""
Om du vet att organisationen inte använder webbtillämpningar där HTML-hjälp ingår, och om användarna inte behöver komma åt CHM-filer på fjärrdatorer kan du stanna här.
Undersök hur webbtillämpningarna använder HTML Help. Du får kanske höra att vissa interna tillämpningar påverkas av uppdateringen. Kontakta tillämpningarnas upphovsmän och fråga om de kan skriva om de funktioner som kräver HTML Help-teknik. Om tillämpningarna skulle kunna fungera utan HTML Help-teknik kan du sluta läsa nu.
Aktivera de webbtillämpningar som behövs. Om du kommer fram till att vissa webbtillämpningar måste kunna använda funktioner i HTML Help kan du välja att ge tillgång till enbart de servrar där dessa program finns. Följande registerfil aktiverar ActiveX-kontrollen för HTML Help och InfoTech-protokollet för en specifik plats. Innehållet i registerfilen aktiverar även navigering mellan ramar med hjälp av ActiveX-kontrollen för HTML Help.
REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions] "MaxAllowedZone"=dword:00000000 "UrlAllowList"="http://contoso/salesapp/" "EnableFrameNavigationInSafeMode"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] "MaxAllowedZone"=dword:00000000 "UrlAllowList"="http://contoso/salesapp/"
Obs! Användarna kan fortfarande inte öppna CHM-filer direkt från en länk på en webbsida. Om du vill veta mer om det här problemet och hur du kringgår det klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

902225 Det går inte att öppna HTML-hjälpfiler från Internet Explorer efter att du har installerat säkerhetsuppdatering 896358 eller Windows Server 2003 Service Pack 1

Ett exempel på en mindre försiktig metod

Den här metoden skulle kunna fungera om följande påståenden gäller din organisation:

Du kan tänka dig att utsätta dig för större risker om du inte vill att säkerhetsuppdatering 896358 ska påverka dina program.
Du kan inte snabbt kan identifiera alla tillämpningar och scenarier som kräver HTML Help-teknik.
Webbtillämpningar som utnyttjar HTML Help-teknik är mycket viktiga för verksamheten. Dessutom kan du inte enkelt ändra i tillämpningarna och använda andra tekniker.

Följande metod är ett exempel på ett mindre försiktigt tillvägagångssätt:

Installera säkerhetsuppdatering 896358. Använd sedan ett grupprincipobjekt för att införa restriktioner.Följande registerfilexempel gör att alla system i intranätet kan använda ActiveX-kontrollen för HTML Help och skicka material via InfoTech-protokollet. Innehållet i registerfilen aktiverar även navigering mellan ramar med hjälp av ActiveX-kontrollen för HTML Help.
REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions] "MaxAllowedZone"=dword:00000001 "EnableFrameNavigationInSafeMode"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] "MaxAllowedZone"=dword:00000001
Obs! Användarna kan fortfarande inte öppna CHM-filer direkt från en länk på en webbsida. Om du vill veta mer om det här problemet och hur du kringgår det klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

902225 Det går inte att öppna HTML-hjälpfiler från Internet Explorer efter att du har installerat säkerhetsuppdatering 896358 eller Windows Server 2003 Service Pack 1
Undersök hur webbtillämpningarna använder HTML Help. Ta reda på vilka webbprogram som kräver HTML Help-teknik. Kontakta tillämpningarnas upphovsmän och fråga om de kan skriva om de funktioner som kräver HTML Help-teknik.

Anpassa inställningarna för HTML Help genom att undersöka vilka inställningar som verkligen krävs. Om du upptäcker att webbprogrammen inte behöver utnyttja HTML Help-teknik kan du använda följande registerfil för att verkställa de maximala begränsningar som stöds av säkerhetsuppdatering 896358:

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"=""

Om du upptäcker att vissa av tillämpningarna måste kunna använda funktionerna i HTML Help kan du begränsa vilka datorer som kan använda tekniken. Följande registerfil begränsar bruket av ActiveX-kontrollen för HTML Help och InfoTech-protokollet till specifika platser i intranätet. Innehållet i registerfilen tillåter även navigering mellan ramar med hjälp av ActiveX-kontrollen för HTML Help.

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

Registerposter

I följande tabell visas de registerposter som artikeln handlar om. Tabellen innehåller även uppgifter om vilka artiklar i Microsoft Knowledge Base som innehåller mer information.

Värde	Artikel i Microsoft Knowledge Base
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\MaxAllowedZone	892675 Vissa webbplatser och funktioner i HTML-hjälpsystemet fungerar inte efter installation av säkerhetsuppdatering 896358 eller säkerhetsuppdatering 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\UrlAllowList	892675 Vissa webbplatser och funktioner i HTML-hjälpsystemet fungerar inte efter installation av säkerhetsuppdatering 896358 eller säkerhetsuppdatering 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\EnableFrameNavigationInSafeMode	896905 Efter installation av säkerhetsuppdateringen 896358 visas innehåll som borde visas i en annan ram i den ram där ActiveX-kontrollen för HTML-Help visas
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\MaxAllowedZone	896054 Det går inte att öppna fjärrinnehåll genom att använda protokollet InfoTech efter att säkerhetsuppdatering 896358, säkerhetsuppdatering 840315 eller Windows Server 2003 Service Pack 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\UrlAllowList	896054 Det går inte att öppna fjärrinnehåll genom att använda protokollet InfoTech efter att säkerhetsuppdatering 896358, säkerhetsuppdatering 840315 eller Windows Server 2003 Service Pack 1

Säkerhetszoner i Internet Explorer

Om du vill veta mer om hur du använder säkerhetszoner i Internet Explorer klickar du på artikelnumret nedan och läser artikeln i Microsoft Knowledge Base:

174360 Använda säkerhetszoner i Internet Explorer

Grupprincip

Mer information om Grupprincip finns på följande Microsoft-webbplatser:

Grupprincipsamling

http://technet.microsoft.com/sv-se/library/cc779838(WS.10).aspx
Redigerare för grupprincipobjekt

http://technet.microsoft.com/sv-se/library/cc737816(WS.10).aspx
Viktiga verktyg och inställningar för Grupprincip

http://technet.microsoft.com/sv-se/library/cc784165(WS.10).aspx

Microsoft tillhandahåller programmeringsexempel enbart i förklarande syfte och gör inga utfästelser, varken uttryckligen eller underförstått. Detta omfattar men begränsas inte till underförstådd garanti för säljbarhet eller lämplighet för ett visst syfte. I denna artikel förutsätts att du känner till det programmeringsspråk som demonstreras och de verktyg som används för att skapa och felsöka procedurer. Microsofts supporttekniker kan hjälpa till med att förklara funktionen hos en viss procedur, men kan inte ändra dessa exempel för att ge ytterligare funktioner eller skapa procedurer som motsvarar dina speciella behov.

Teknisk support för x64-baserade versioner av Microsoft Windows

På de datorer som kör x64-baserade versioner av Microsoft Windows kan du behöva använda de instruktioner som finns i avsnittet "Lösning" för att ändra i Registret. Du kan till exempel behöva ändra i en annan del av Registret, beroende på om du vill ändra 32-bitars- eller 64-bitarsfunktionaliteten.Om du vill veta mer klickar du på följande artikelnummer och läser artikeln i Microsoft Knowledge Base:

896459 Registerändringar i x64-baserade versioner av Windows Server 2003 och Windows XP Professional x64 Edition Maskinvarutillverkarna tillhandahåller tekniskt stöd och hjälp för x64-baserade utgåvor av Windows. Det beror på att operativsystemet levererades tillsammans med maskinvaran. Maskinvarutillverkaren kan ha anpassat installationen av Windows med speciella komponenter. Dessa kan vara specifika drivrutiner eller inställningar som ger maximala prestanda för maskinvaran. Microsoft tillhandahåller assistans inom rimliga gränser vid behov av teknisk hjälp med en x64-baserade version av Windows. Du kan dock behöva kontakta tillverkaren direkt. Tillverkaren är mest lämpad att ge stöd för de program som han installerat på maskinvaran.Om du vill ha produktinformation om Microsoft Windows XP Professional x64 Edition besöker du följande Microsoft-webbplats:

http://windows.microsoft.com/sv-se/windows/windows-help?os=winxp#windows=windows-xpOm du vill ha produktinformation om x64-utgåvor av Microsoft Windows Server 2003 besöker du följande Microsoft-webbplats:

http://www.microsoft.com/windowsserver2003/64bit/x64/editions.mspx