A Microsoft XML Core Services biztonsági rése lehetővé teheti az információk közzétételét (2966061)
Közzétéve: 2014. június 10. | Frissítve: 2014. július 10.
Verzió: 1.1
Általános információk
Vezetői összefoglaló
Ez a biztonsági frissítés feloldja a Microsoft Windows magánjellegűleg jelentett biztonsági rését. A biztonsági rés lehetővé teheti az információk közzétételét, ha egy bejelentkezett felhasználó meglátogat egy speciálisan létrehozott webhelyet, amely a Microsoft XML Core Services (MSXML) Internet Exploreren keresztüli meghívására lett kialakítva. A támadónak azonban minden esetben nincs módja arra, hogy a felhasználókat ilyen webhelyek felkeresésére kényszerítse. Ehelyett a támadónak meg kell győznie a felhasználókat, hogy látogassanak meg egy webhelyet, általában úgy, hogy ráveszik őket, hogy egy e-mailben vagy egy Azonnali üzenetben lévő hivatkozásra kattintanak, amely a felhasználókat a támadó webhelyére viszi.
A Microsoft XML Core Services 3.0 és a Microsoft XML Core Services 6.0 biztonsági frissítése fontosnak számít a Microsoft Windows-ügyfelek érintett kiadásaihoz, és alacsony a Microsoft Windows-kiszolgálók érintett kiadásaihoz. További információkért tekintse meg az érintett és a nem érintett szoftver szakaszt.
A biztonsági frissítés úgy oldja meg a biztonsági rést, hogy módosítja, hogy a Microsoft XML Core Services hogyan kényszeríti ki a felhasználói hozzáférés-vezérlést. A biztonsági résről a jelen közlemény későbbi, gyakori kérdések (GYIK) alszakaszában talál további információt.
Ajánlás. A legtöbb ügyfélnél engedélyezve van az automatikus frissítés, és nem kell semmilyen műveletet elvégeznie, mert ez a biztonsági frissítés automatikusan le lesz töltve és telepítve. Azoknak az ügyfeleknek, akik nem engedélyezték az automatikus frissítést, ellenőrizniük kell a frissítéseket, és manuálisan kell telepíteniük a frissítést. Az automatikus frissítés konkrét konfigurációs beállításairól a Microsoft Tudásbázis 294871.
Rendszergazdák és vállalati telepítések, illetve a biztonsági frissítést manuálisan telepíteni kívánó végfelhasználók számára a Microsoft azt javasolja, hogy az ügyfelek a lehető leghamarabb alkalmazzák a frissítést frissítéskezelő szoftverrel, vagy a Microsoft Update szolgáltatással keressenek frissítéseket.
Lásd még a jelen közlemény későbbi, Észlelési és üzembehelyezési eszközei és útmutatója című szakaszt.
Az alábbi szoftvert teszteltük annak megállapítására, hogy mely verziókra vagy kiadásokra van hatással. A többi verzió vagy kiadás vagy túllépte a támogatási életciklusukat, vagy nem érinti őket. A szoftververzió vagy -kiadás támogatási életciklusának meghatározásához tekintse meg Microsoft ügyfélszolgálata életciklust.
Windows Server 2012 R2 (Server Core telepítés)[2](2966631)
Microsoft XML Core Services 3.0
Információfelfedés
Alacsony
2916036 az MS14-005-ben
[1]Ez a frissítés olyan rendszerekre készült, amelyeken telepítve van a 2919355 frissítés. További információért tekintse meg a frissítési gyakori kérdéseket .
[2]Ez a frissítés olyan rendszerekre készült, amelyeken nincs telepítve a 2919355 frissítés. Ez a frissítés nem érhető el a Microsoft letöltőközponton keresztül. További információért tekintse meg a frissítési gyakori kérdéseket .
[3]Ez a frissítés a Windows Update-en keresztül érhető el.
Nem érintett szoftverek
Operációs rendszer
Microsoft XML Core Services 5.0
Gyakori kérdések frissítése
A Windows 8.1 és a Windows Server 2012 R2 rendszerhez több frissítés is szerepel. Mindkét frissítést telepíteni kell?
Szám Attól függően, hogy a rendszer hogyan van konfigurálva a frissítések fogadására, csak a Windows 8.1 vagy a Windows Server 2012 R2 adott kiadásának egyik frissítése lesz érvényes.
Windows 8.1 vagy Windows Server 2012 R2 rendszerű rendszerek esetén:
A 2939576 frissítés olyan rendszerekhez készült, amelyeken már telepítve van a 2919355 frissítés.
A 2966631 frissítés olyan rendszerekhez készült, amelyeknek nincs telepítve a 2919355 frissítése. Vegye figyelembe, hogy a 2966631 frissítés csak a Windows Server Update Services (WSUS), a Windows Intune vagy a System Center Configuration Manager használatával frissítéseket kezelő ügyfelek számára érhető el.
A Microsoft XML Core Services melyik verziója van telepítve a rendszeremre?
A Microsoft XML Core Services egyes verziói a Microsoft Windows részét képezik; mások nem operációsrendszer-szoftverrel vannak telepítve a Microsofttól vagy külső szolgáltatóktól. Néhány külön letöltésként is elérhető. Az alábbi táblázat azt mutatja be, hogy az MSXML érintett verziói közül melyek tartoznak a Microsoft Windows érintett verzióihoz, és amelyek további Microsoft- vagy külső szoftverekkel vannak telepítve.
Operációs rendszer
MSXML 3.0 és MSXML 6.0
Windows Server 2003
MSXML 3.0: Operációs rendszerrel szállítva\ MSXML 6.0: További szoftverekkel telepítve
Mi az a Microsoft XML Core Services (MSXML)?
A Microsoft XML Core Services (MSXML) lehetővé teszi, hogy a JScriptet, a Visual Basic Scripting Editiont (VBScript) és a Microsoft Visual Studio 6.0-t használó ügyfelek olyan XML-alapú alkalmazásokat fejlesszenek ki, amelyek együttműködnek az XML 1.0 szabványnak megfelelő más alkalmazásokkal. További információ: MSDN-cikk, MSXML.
A jelen biztonsági közleményben tárgyalt szoftver egy régebbi kiadását használom. Mit tegyek?
A jelen közleményben felsorolt érintett szoftvereket teszteltük, hogy megállapítsuk, mely kiadások érintik az érintett kiadásokat. A többi kiadás túllépte a támogatási életciklusukat. A termék életciklusával kapcsolatos további információkért tekintse meg az Microsoft ügyfélszolgálata Életciklus webhelyet.
Prioritásnak kell lennie azoknak az ügyfeleknek, akik a szoftver régebbi kiadásaival rendelkeznek, hogy támogatott kiadásokra migráljanak, hogy megelőzzék a biztonsági réseknek való potenciális kitettséget. A szoftverkiadás támogatási életciklusának meghatározásához lásd : Termék kiválasztása életciklus-információkhoz. A szoftververziók szervizcsomagjaival kapcsolatos további információkért lásd a Service Pack Életciklus Támogatási Szabályzatát.
A régebbi szoftverekhez egyéni támogatást igénylő ügyfeleknek kapcsolatba kell lépniük a Microsoft-fiók csapatának képviselőjével, a Technical Account Managerrel vagy a Microsoft megfelelő partneri képviselőjével az egyéni támogatási lehetőségekért. A , premier vagy hivatalos szerződéssel nem rendelkező ügyfelek kapcsolatba léphetnek a helyi Microsoft értékesítési irodával. Kapcsolattartási információkért tekintse meg a Microsoft Worldwide Information webhelyét , jelölje ki az országot a Partneradatok listában, majd kattintson az Ugrás gombra a telefonszámok listájának megtekintéséhez. Amikor telefonál, kérje meg, hogy beszéljen a helyi premier támogatási értékesítési vezetővel. További információ: Microsoft ügyfélszolgálata Életciklus Szabályzat – gyakori kérdések.
Súlyossági minősítések és biztonságirés-azonosítók
Az alábbi súlyossági minősítések feltételezik a biztonsági rés lehetséges maximális hatását. A biztonsági rés súlyosságával és biztonsági hatásával kapcsolatos biztonsági rés kihasználásának valószínűségéről a biztonsági közlemény megjelenésétől számított 30 napon belül tekintse meg a júniusi közlemény összefoglalójában található Kizsákmányolhatósági indexet. További információ: Microsoft Exploitability Index.
Biztonságirés súlyossági besorolása és az érintett szoftverek által gyakorolt maximális biztonsági hatás
Érintett szoftver
MSXML entitás URI biztonsági rése – CVE-2014-1816
Súlyosság összesített minősítése
Windows Server 2003 Service Pack 2
Microsoft XML Core Services 3.0 windows Server 2003 Service Pack 2 rendszeren (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 6.0 windows Server 2003 Service Pack 2 rendszeren (2957482)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0-hoz Windows Server 2003 x64 Edition Service Pack 2 rendszeren (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 6.0-hoz Windows Server 2003 x64 Edition Service Pack 2 rendszeren (2957482)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 esetén a Windows Server 2003 sp2 for Itanium-alapú rendszereken (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 6.0 esetén a Windows Server 2003 sp2 for Itanium-alapú rendszereken (2957482)
Alacsony információfeltárás
Alacsony
Windows Vista
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 windows Vista Service Pack 2 rendszeren (2939576)
Fontos információk közzététele
Fontos
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 esetén Windows Vista x64 Edition Service Pack 2 rendszeren (2939576)
Fontos információk közzététele
Fontos
Windows Server 2008
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 esetén Windows Server 2008 rendszeren 32 bites Systems Service Pack 2 rendszeren (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 x64-alapú Windows Server 2008 rendszeren (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 esetén a Windows Server 2008 for Itanium-alapú Systems Service Pack 2 rendszeren (2939576)
Alacsony információfeltárás
Alacsony
Windows 7
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 windows 7 rendszeren 32 bites Systems Service Pack 1 rendszeren (2939576)
Fontos információk közzététele
Fontos
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 esetén x64-alapú Windows 7 rendszeren x64-alapú Rendszerek Service Pack 1 rendszeren (2939576)
Fontos információk közzététele
Fontos
Windows Server 2008 R2
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 x64-alapú Windows Server 2008 R2 rendszeren (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 esetén a Windows Server 2008 R2 for Itanium-alapú Systems Service Pack 1 rendszeren (2939576)
Alacsony információfeltárás
Alacsony
Windows 8 és Windows 8.1
Microsoft XML Core Services 3.0 32 bites Windows 8 rendszeren (2939576)
Fontos információk közzététele
Fontos
Microsoft XML Core Services 3.0 esetén x64-alapú Windows 8 rendszeren (2939576)
Fontos információk közzététele
Fontos
32 bites Windows 8.1 rendszeren futó Microsoft XML Core Services 3.0 esetén (2939576)
Fontos információk közzététele
Fontos
A 32 bites Windows 8.1 rendszeren futó Microsoft XML Core Services 3.0 esetén (2966631)
Fontos információk közzététele
Fontos
X64-alapú Windows 8.1 rendszeren futó Microsoft XML Core Services 3.0 esetén (2939576)
Fontos információk közzététele
Fontos
X64-alapú Windows 8.1 rendszeren futó Microsoft XML Core Services 3.0 esetén (2966631)
Fontos információk közzététele
Fontos
Windows Server 2012 és Windows Server 2012 R2
Microsoft XML Core Services 3.0 esetén Windows Server 2012 rendszeren (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 esetén Windows Server 2012 R2 rendszeren (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 esetén Windows Server 2012 R2 rendszeren (2966631)
Alacsony információfeltárás
Alacsony
Windows RT és Windows RT 8.1
Microsoft XML Core Services 3.0 windows RT rendszeren (2939576)
Fontos információk közzététele
Fontos
Microsoft XML Core Services 3.0 windows RT 8.1 rendszeren (2939576)
Fontos információk közzététele
Fontos
Server Core telepítési lehetőség
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 esetén Windows Server 2008 rendszeren 32 bites Systems Service Pack 2 rendszerhez (Server Core telepítés) (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 esetén x64-alapú Windows Server 2008 rendszeren x64-alapú Rendszerek Service Pack 2 rendszerhez (Server Core telepítés) (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 és Microsoft XML Core Services 6.0 esetén x64-alapú Windows Server 2008 R2 rendszeren x64-alapú Systems Service Pack 1 rendszerhez (Server Core telepítés) (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 esetén Windows Server 2012 rendszeren (Server Core telepítés) (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 esetén Windows Server 2012 R2 rendszeren (Server Core telepítés) (2939576)
Alacsony információfeltárás
Alacsony
Microsoft XML Core Services 3.0 esetén Windows Server 2012 R2 rendszeren (Server Core telepítés) (2966631)
Alacsony információfeltárás
Alacsony
MSXML entitás URI biztonsági rése – CVE-2014-1816
Az információfeltárás biztonsági rése a Microsoft Windows XML-tartalmának elemzése során létezik. A biztonsági rés lehetővé teheti, hogy a támadó hozzáférjen az egyébként nem engedélyezett információkhoz.
Ha a biztonsági rést standard bejegyzésként szeretné megtekinteni a Gyakori biztonsági rések és kitettségek listában, tekintse meg a CVE-2014-1816 című témakört.
Enyhítő tényezők
A kockázatcsökkentés egy alapértelmezett állapotban meglévő beállításra, általános konfigurációra vagy általános ajánlott eljárásra utal, amely csökkentheti a biztonsági rések kihasználásának súlyosságát. Az alábbi enyhítő tényezők hasznosak lehetnek az Ön helyzetében:
Webes támadási forgatókönyv esetén a támadó kihasználhatja a biztonsági rést egy speciálisan létrehozott webhely üzemeltetésével, amely az MSXML Internet Exploreren keresztüli meghívására lett kialakítva. Ebbe beletartozhatnak a felhasználó által megadott tartalmakat vagy hirdetéseket elfogadó vagy üzemeltető webhelyek is. Ezek a webhelyek speciálisan létrehozott tartalmakat tartalmazhatnak, amelyek kihasználhatják ezt a biztonsági rést. A támadónak azonban minden esetben nincs módja arra, hogy a felhasználókat ilyen webhelyek felkeresésére kényszerítse. Ehelyett a támadónak meg kell győznie a felhasználókat, hogy látogassák meg a webhelyet, általában úgy, hogy ráveszik őket, hogy kattintson egy hivatkozásra egy e-mailben vagy egy Instant Messenger-kérelemben, amely a felhasználókat a támadó webhelyére viszi.
Alapértelmezés szerint az Internet Explorer a Windows Server 2003, a Windows Server 2008, a Windows Server 2008 R2, a Windows Server 2012 és a Windows Server 2012 R2 rendszeren korlátozott módban , úgynevezett fokozott biztonsági konfigurációban fut. Ez a mód csökkenti ezt a biztonsági rést. Az Internet Explorer fokozott biztonsági konfigurációjáról további információt a biztonsági rés gyakori kérdések című szakaszában talál.
Kerülő megoldások
A megkerülő megoldás olyan beállításra vagy konfigurációmódosításra utal, amely nem javítja ki a mögöttes biztonsági rést, de segít blokkolni az ismert támadási vektorokat a frissítés alkalmazása előtt. A Microsoft a következő kerülő megoldásokat és állapotokat tesztelte a vita során, hogy egy kerülő megoldás csökkenti-e a funkciókat:
Az MSXML 3.0 bináris viselkedésének megakadályozása az Internet Explorerben
Az Internet Explorerben letilthatja az adott bináris viselkedés használatára tett kísérleteket a beállításjegyzékben található viselkedéshez tartozó kill bit beállításával.
Figyelmeztetés : Ha helytelenül használja a Beállításszerkesztőt, súlyos problémákat okozhat, amelyek miatt újra kell telepítenie az operációs rendszert. A Microsoft nem tudja garantálni, hogy a Beállításszerkesztő helytelen használatából eredő problémákat meg tudja oldani. A Beállításszerkesztőt saját felelősségére használhatja.
A(z) {f5078f39-c551-11d3-89b9-0000f81fe221} és {f6d90f16-9c73-11d3-b32e-00c04f990bb4} értékkel rendelkező CLSID-k kill bitjeinek beállítása, illessze be a következő szöveget egy szövegszerkesztőbe, például Jegyzettömb. Ezután mentse a fájlt a .reg fájlnévkiterjesztés használatával.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{f5078f39-c551-11d3-89b9-0000f81fe221}]
"Compatibility Flags"=dword:04000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\ActiveX Compatibility\{f5078f39-c551-11d3-89b9-0000f81fe221}]
"Compatibility Flags"=dword:04000400
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{f6d90f16-9c73-11d3-b32e-00c04f990bb4}]
"Compatibility Flags"=dword:04000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\ActiveX Compatibility\{f6d90f16-9c73-11d3-b32e-00c04f990bb4}]
"Compatibility Flags"=dword:04000400
Ezt a .reg fájlt az egyes rendszerekre duplán kattintva alkalmazhatja. A csoportházirend használatával tartományokra is alkalmazhatja. A csoportházirendről további információt a TechNet csoportházirend-gyűjtemény című cikkében talál.
Megjegyzés:
A módosítások érvénybe lépéséhez újra kell indítania az Internet Explorert.
A kerülő megoldás hatása. Előfordulhat, hogy az XMLHTTP 3.0 ActiveX-vezérlőket használó webhelyek már nem jelennek meg vagy működnek megfelelően az Internet Explorerben.
A kerülő megoldás visszavonása. Törölje a kerülő megoldás implementálásához korábban hozzáadott beállításkulcsokat.
Az Internet Explorer konfigurálása arra, hogy az aktív szkriptelés futtatása előtt kérje a kérést, vagy tiltsa le az aktív szkriptelést az internet és a helyi intranet biztonsági zónájában
A biztonsági rés kihasználása elleni védelemhez módosíthatja a beállításokat, hogy az aktív szkriptelés futtatása előtt kérje a kérést, vagy tiltsa le az aktív szkriptelést az internet és a helyi intranet biztonsági zónájában. Ehhez hajtsa végre az alábbi lépéseket:
Az Internet Explorerben kattintson az Eszközök menü Internetbeállítások parancsára.
Kattintson a Biztonság fülre.
Kattintson az Internet, majd az Egyéni szint elemre.
A Gépház alatt, a Parancsfájlok szakasz Aktív szkriptelés területén kattintson a Parancssor vagy a Letiltás elemre, majd kattintson az OK gombra.
Kattintson a Helyi intranet, majd az Egyéni szint elemre.
A Gépház alatt, a Parancsfájlok szakasz Aktív szkriptelés területén kattintson a Parancssor vagy a Letiltás elemre, majd kattintson az OK gombra.
Kattintson kétszer az OK gombra az Internet Explorerbe való visszatéréshez.
Megjegyzés:
Az aktív szkriptelés letiltása az interneten és a helyi intranetes biztonsági zónákban egyes webhelyek helytelen működését okozhatja. Ha a beállítás módosítása után nehézségekbe ütközik a webhely használata, és biztos benne, hogy a webhely biztonságosan használható, felveheti a webhelyet a megbízható webhelyek listájára. Ez lehetővé teszi a webhely megfelelő működését.
A kerülő megoldás hatása. Az Active Scripting futtatása előtt mellékhatásokat kell kérnie. Az interneten vagy intraneten található webhelyek közül sok az Active Scripting használatával biztosít további funkciókat. Egy online e-kereskedelmi webhely vagy banki webhely például használhatja az Active Scriptinget menük, űrlapok megrendelése vagy akár fiókkivonatok megadására. Az aktív szkriptelés futtatása előtt történő kérés globális beállítás, amely az összes internetes és intranetes webhelyre hatással van. A kerülő megoldás engedélyezésekor a rendszer gyakran kéri. Minden egyes kérdésnél, ha úgy érzi, hogy megbízik a meglátogatott webhelyben, kattintson az Igen gombra az Aktív szkriptelés futtatásához. Ha nem szeretné, hogy ezekre a webhelyekre kérje a rendszer, kövesse a "Megbízható webhelyek hozzáadása az Internet Explorer megbízható helyek zónájában" című témakörben ismertetett lépéseket.
Megbízható webhelyek hozzáadása az Internet Explorer Megbízható helyek zónához
Miután beállította, hogy az Internet Explorer az ActiveX-vezérlők és az Active Scripting futtatása előtt kérjen egy kérést az internetzónában és a Helyi intranet zónában, hozzáadhat olyan webhelyeket, amelyekben megbízik az Internet Explorer megbízható helyek zónájában. Ez lehetővé teszi, hogy továbbra is megbízható webhelyeket használjon, pontosan ugyanúgy, mint ma, miközben segít megvédeni Önt a nem megbízható webhelyek elleni támadástól. Javasoljuk, hogy csak olyan webhelyeket adjon hozzá, amelyekben megbízik a Megbízható helyek zónában.
Ehhez hajtsa végre az alábbi lépéseket:
Az Internet Explorerben kattintson az Eszközök, az Internetbeállítások, majd a Biztonság fülre.
A Webes tartalom kijelölése zónában adja meg az aktuális biztonsági beállításokat tartalmazó mezőt, kattintson a Megbízható helyek elemre, majd a Webhelyek elemre.
Ha olyan webhelyeket szeretne hozzáadni, amelyek nem igényelnek titkosított csatornát, kattintson a kiszolgáló ellenőrzésének (https:) törléséhez a zóna összes helyéhez jelölőnégyzetből.
A Webhely hozzáadása a zónához mezőbe írja be egy megbízható webhely URL-címét, majd kattintson a Hozzáadás gombra.
Ismételje meg ezeket a lépéseket minden olyan webhelynél, amelyet hozzá szeretne adni a zónához.
Kattintson kétszer az OK gombra a módosítások elfogadásához és az Internet Explorerhez való visszatéréshez.
Megjegyzés:
Adjon hozzá olyan webhelyeket, amelyekben megbízik, hogy ne tegyen kártékony műveletet a rendszeren. A *.windowsupdate.microsoft.com és a *.update.microsoft.com. Ezek a webhelyek fogják üzemeltetni a frissítést, és a frissítés telepítéséhez ActiveX-vezérlőre van szükség.\n
Állítsa az internet és a helyi intranet biztonsági zónájának beállításait "Magas" értékre az ActiveX-vezérlők és az aktív szkriptelés letiltásához ezekben a zónákban
A biztonsági rés kihasználása elleni védelemhez módosíthatja az internetes biztonsági zónára vonatkozó beállításokat, hogy letiltsa az ActiveX-vezérlőket és az Aktív szkriptelést. Ezt úgy teheti meg, hogy magasra állítja a böngésző biztonságát.
Ha növelni szeretné a böngészés biztonsági szintjét az Internet Explorerben, hajtsa végre a következő lépéseket:
Az Internet Explorer Eszközök menüjében kattintson az Internetbeállítások elemre.
Az Internetbeállítások párbeszédpanelen kattintson a Biztonság fülre, majd az Internet elemre.
A zóna biztonsági szintje alatt mozgassa a csúszkát a Magas értékre. Ez beállítja a biztonsági szintet a Magasban meglátogatott összes webhelyre vonatkozóan.
(Ha nem látható csúszka, kattintson aAlapértelmezett szint, majd a csúszka áthelyezése a Magas értékre.)
Kattintson a Helyi intranet elemre.
A zóna biztonsági szintje alatt mozgassa a csúszkát a Magas értékre. Ez beállítja a biztonsági szintet a Magasban meglátogatott összes webhelyre vonatkozóan.
Megjegyzés:
Kattintson az OK gombra a módosítások elfogadásához és az Internet Explorerhez való visszatéréshez. A szint magasra állítása egyes webhelyek helytelen működését okozhatja. Ha a beállítás módosítása után nehézségekbe ütközik a webhely használata, és biztos benne, hogy a webhely biztonságosan használható, felveheti a webhelyet a megbízható webhelyek listájára. Ez lehetővé teszi, hogy a webhely megfelelően működjön még a Magas értékre beállított biztonsági beállítással is.
A kerülő megoldás hatása. Az ActiveX-vezérlők és az aktív szkriptek blokkolásának vannak mellékhatásai. Az interneten vagy intraneten található webhelyek közül sok az ActiveX vagy az Active Scripting használatával biztosít további funkciókat. Egy online e-kereskedelmi webhely vagy banki webhely például az ActiveX-vezérlők használatával adhat meg menüket, űrlapokat vagy akár fiókkivonatokat is. Az ActiveX-vezérlők vagy az aktív szkriptelés letiltása egy globális beállítás, amely minden internetes és intranetes webhelyet érint. Ha nem szeretné letiltani az ActiveX-vezérlőket vagy az active scriptinget az ilyen webhelyeken, kövesse a "Megbízható webhelyek hozzáadása az Internet Explorer megbízható helyek zónájában" című témakörben ismertetett lépéseket.
Megbízható webhelyek hozzáadása az Internet Explorer Megbízható helyek zónához
Miután beállította, hogy az Internet Explorer letiltsa az ActiveX-vezérlőket és az aktív szkriptelést az internetzónában és a Helyi intranet zónában, hozzáadhat olyan webhelyeket, amelyekben megbízik az Internet Explorer megbízható helyek zónájában. Ez lehetővé teszi, hogy továbbra is megbízható webhelyeket használjon pontosan, mint ma, miközben segít megvédeni magát a nem megbízható webhelyek elleni támadástól. Javasoljuk, hogy csak olyan webhelyeket adjon hozzá, amelyekben megbízik a Megbízható helyek zónában.
Ehhez hajtsa végre az alábbi lépéseket:
Az Internet Explorerben kattintson az Eszközök, az Internetbeállítások, majd a Biztonság fülre.
A Webes tartalom kijelölése zónában adja meg az aktuális biztonsági beállításokat tartalmazó mezőt, kattintson a Megbízható helyek elemre, majd a Webhelyek elemre.
Ha olyan webhelyeket szeretne hozzáadni, amelyek nem igényelnek titkosított csatornát, kattintson a kiszolgáló ellenőrzésének (https:) törléséhez a zóna összes helyéhez jelölőnégyzetből.
A Webhely hozzáadása a zónához mezőbe írja be egy megbízható webhely URL-címét, majd kattintson a Hozzáadás gombra.
Ismételje meg ezeket a lépéseket minden olyan webhelynél, amelyet hozzá szeretne adni a zónához.
Kattintson kétszer az OK gombra a módosítások elfogadásához és az Internet Explorerhez való visszatéréshez.
Megjegyzés:
Adjon hozzá olyan webhelyeket, amelyekben megbízik, hogy ne tegyen kártékony műveletet a rendszeren. A *.windowsupdate.microsoft.com és a *.update.microsoft.com. Ezek a webhelyek fogják üzemeltetni a frissítést, és a frissítés telepítéséhez ActiveX-vezérlőre van szükség. \
GYIK
Mi a biztonsági rés hatóköre?
Ez egy információfeltáró biztonsági rés.
Mi okozza a biztonsági rést?
A biztonsági rés akkor jelentkezik, ha a Microsoft XML Core Services (MSXML) elemzi az XML-tartalmat, és nem kényszeríti megfelelően a felhasználói hozzáférés-vezérlést.
**Milyen összetevőt érint a biztonsági rés? ** A biztonsági rés hatással van a Microsoft XML Core Servicesre (MSXML), amely lehetővé teszi, hogy a JScriptet, a Visual Basic Scripting Editiont (VBScript) és a Microsoft Visual Studio 6.0-t használó ügyfelek olyan XML-alapú alkalmazásokat fejlesszenek ki, amelyek együttműködnek az XML 1.0 szabványnak megfelelő más alkalmazásokkal. További információkért tekintse meg a Microsoft Developer Network MSXML című cikkét.
Mi az a Microsoft XML Core Services (MSXML)?
A Microsoft XML Core Services (MSXML) lehetővé teszi, hogy a JScriptet, a Visual Basic Scripting Editiont (VBScript) és a Microsoft Visual Studio 6.0-t használó ügyfelek olyan XML-alapú alkalmazásokat fejlesszenek ki, amelyek együttműködnek az XML 1.0 szabványnak megfelelő más alkalmazásokkal. További információ: MSDN-cikk, MSXML.
Mire használhatja a támadó a biztonsági rést?
A biztonsági rést sikeresen kihasználó támadó lekérte a felhasználó személyes adatait a helyi rendszerből.
Hogyan használhatja ki a támadó a biztonsági rést?
A támadó kihasználhatja a biztonsági rést egy speciálisan létrehozott webhely üzemeltetésével, amely az MSXML Internet Exploreren keresztüli meghívására lett kialakítva. Ebbe beletartozhatnak a felhasználó által megadott tartalmakat vagy hirdetéseket elfogadó vagy üzemeltető webhelyek is. Ezek a webhelyek speciálisan létrehozott tartalmakat tartalmazhatnak, amelyek kihasználhatják ezt a biztonsági rést. A támadónak azonban minden esetben nincs módja arra, hogy a felhasználókat ilyen webhelyek felkeresésére kényszerítse. Ehelyett a támadónak meg kell győznie a felhasználókat, hogy látogassanak meg egy webhelyet, általában úgy, hogy ráveszik őket, hogy egy e-mailben vagy egy Azonnali üzenetben lévő hivatkozásra kattintanak, amely a felhasználókat a támadó webhelyére viszi. A speciálisan létrehozott webes tartalmakat szalaghirdetések használatával vagy más módszerekkel is megjelenítheti, hogy webes tartalmakat szállítson az érintett rendszereknek.
A nem Microsoft-webalkalmazások és -szolgáltatások, amelyek az MSXML-kódtárat használják az XML elemzéséhez, szintén sebezhetők lehetnek a támadással szemben.
Mely rendszerek vannak elsősorban veszélyben a sebezhetőség miatt?
Ehhez a biztonsági réshez be kell jelentkeznie egy felhasználónak, és meg kell látogatnia egy webhelyet, hogy bármilyen rosszindulatú művelet történjen. Ezért az Internet Explorert gyakran használó rendszerek, például munkaállomások vagy terminálkiszolgálók a legnagyobb veszélynek vannak kitéve a biztonsági rés miatt.
Az Internet Explorert Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 vagy Windows Server 2012 R2 rendszeren futtatom. Ez enyhíti ezt a biztonsági rést?
Igen. Alapértelmezés szerint az Internet Explorer a Windows Server 2003, a Windows Server 2008, a Windows Server 2008 R2, a Windows Server 2012 és a Windows Server 2012 R2 rendszeren korlátozott módban, úgynevezett fokozott biztonsági konfigurációban fut. A továbbfejlesztett biztonsági konfiguráció az Internet Explorer előre konfigurált beállításainak egy csoportja, amely csökkentheti annak valószínűségét, hogy egy felhasználó vagy rendszergazda speciálisan létrehozott webes tartalmat tölt le és futtat egy kiszolgálón. Ez enyhítő tényező azon webhelyek esetében, amelyeket nem adott hozzá az Internet Explorer megbízható helyek zónához.
Mit tesz a frissítés?
A frissítés úgy oldja meg a biztonsági rést, hogy módosítja, hogy a Microsoft XML Core Services hogyan kényszeríti ki a felhasználói hozzáférés-vezérlést.
A biztonsági közlemény kiadásakor nyilvánosságra hozták-e ezt a biztonsági rést?
Szám A Microsoft összehangolt biztonságirés-közzététellel kapott információt erről a biztonsági résről.
A biztonsági közlemény kiadásakor a Microsoft kapott-e jelentést arról, hogy a biztonsági rést kihasználták?
Szám A Microsoft nem kapott információt arról, hogy ezt a biztonsági rést nyilvánosan használták az ügyfelek támadására a biztonsági közlemény eredeti kiadásakor.
Észlelési és üzembehelyezési eszközök és útmutató
A rendszergazdáknak számos erőforrás áll rendelkezésre a biztonsági frissítések üzembe helyezéséhez.
A Microsoft Baseline Security Analyzer (MBSA) lehetővé teszi a rendszergazdák számára, hogy a helyi és távoli rendszerekben kereszék a hiányzó biztonsági frissítéseket és a gyakori biztonsági konfigurációkat.
A Windows Server Update Services (WSUS), a System Management Server (SMS) és a System Center Configuration Manager segít a rendszergazdáknak a biztonsági frissítések terjesztésében.
Az Alkalmazáskompatibilitási eszközkészlet-támogatás részét képező frissítéskompatibilitás-kiértékelő összetevők a Windows-frissítések tesztelésének és érvényesítésének rafikálásában a telepített alkalmazásokon.
Bizonyos esetekben ez a frissítés nem igényel újraindítást. Ha a szükséges fájlokat használja, a frissítés újraindítást igényel. Ha ez a viselkedés jelentkezik, megjelenik egy üzenet, amely az újraindítást javasolja.
Eltávolítási információk
MSXML 3.0 esetén:\ Használja a Programok hozzáadása vagy eltávolítása elemet Vezérlőpult vagy a %Windir%$NTUninstallKB 2939576$\Spuninst mappában található Spuninst.exe segédprogramot
\
MSXML 6.0 esetén:\ Használja a Programok hozzáadása vagy eltávolítása elemet a Vezérlőpult.
Bizonyos esetekben ez a frissítés nem igényel újraindítást. Ha a szükséges fájlokat használja, a frissítés újraindítást igényel. Ha ez a viselkedés jelentkezik, megjelenik egy üzenet, amely az újraindítást javasolja.
Eltávolítási információk
WUSA.exe nem támogatja a frissítések eltávolítását. A WUSA által telepített frissítés eltávolításához kattintson a Vezérlőpult, majd a Biztonság gombra. A Windows Update alatt kattintson a Telepített frissítések megtekintése elemre, és válasszon a frissítések listájából.
Bizonyos esetekben ez a frissítés nem igényel újraindítást. Ha a szükséges fájlokat használja, a frissítés újraindítást igényel. Ha ez a viselkedés jelentkezik, megjelenik egy üzenet, amely az újraindítást javasolja.
Eltávolítási információk
WUSA.exe nem támogatja a frissítések eltávolítását. A WUSA által telepített frissítés eltávolításához kattintson a Vezérlőpult, majd a Biztonság gombra. A Windows Update alatt kattintson a Telepített frissítések megtekintése elemre, és válasszon a frissítések listájából.
Bizonyos esetekben ez a frissítés nem igényel újraindítást. Ha a szükséges fájlokat használja, a frissítés újraindítást igényel. Ha ez a viselkedés jelentkezik, megjelenik egy üzenet, amely az újraindítást javasolja.
Eltávolítási információk
A WUSA által telepített frissítés eltávolításához használja az /Eltávolítás beállítási kapcsolót, vagy kattintson a Vezérlőpult, majd a Rendszer és biztonság elemre, majd a Windows Update alatt kattintson a Telepített frissítések megtekintése elemre, és válassza ki a frissítések listáját.
Bizonyos esetekben ez a frissítés nem igényel újraindítást. Ha a szükséges fájlokat használja, a frissítés újraindítást igényel. Ha ez a viselkedés jelentkezik, megjelenik egy üzenet, amely az újraindítást javasolja.
Eltávolítási információk
A WUSA által telepített frissítés eltávolításához használja az /Eltávolítás beállítási kapcsolót, vagy kattintson a Vezérlőpult, majd a Rendszer és biztonság elemre, majd a Windows Update alatt kattintson a Telepített frissítések megtekintése elemre, és válassza ki a frissítések listáját.
Bizonyos esetekben ez a frissítés nem igényel újraindítást. Ha a szükséges fájlokat használja, a frissítés újraindítást igényel. Ha ez a viselkedés jelentkezik, megjelenik egy üzenet, amely az újraindítást javasolja.
Eltávolítási információk
A WUSA által telepített frissítés eltávolításához használja az /Eltávolítás beállítási kapcsolót, vagy kattintson a Vezérlőpult, a Rendszer és biztonság elemre, majd a Windows Update elemre, majd a Lásd még, kattintson a Telepített frissítések elemre, és válassza ki a frissítések listáját.
Bizonyos esetekben ez a frissítés nem igényel újraindítást. Ha a szükséges fájlokat használja, a frissítés újraindítást igényel. Ha ez a viselkedés jelentkezik, megjelenik egy üzenet, amely az újraindítást javasolja.
Eltávolítási információk
A WUSA által telepített frissítés eltávolításához használja az /Eltávolítás beállítási kapcsolót, vagy kattintson a Vezérlőpult, a Rendszer és biztonság elemre, majd a Windows Update elemre, majd a Lásd még, kattintson a Telepített frissítések elemre, és válassza ki a frissítések listáját.
Megjegyzés: A frissítés meglétének ellenőrzéséhez nem létezik beállításkulcs.
Windows RT és Windows RT 8.1 (minden kiadás)
Referenciatábla
Az alábbi táblázat a szoftver biztonsági frissítési adatait tartalmazza.
Üzembe helyezés
A frissítés csak a Windows Update-en keresztül érhető el.
Újraindítási követelmény
Bizonyos esetekben ez a frissítés nem igényel újraindítást. Ha a szükséges fájlokat használja, a frissítés újraindítást igényel. Ha ez a viselkedés jelentkezik, megjelenik egy üzenet, amely az újraindítást javasolja.
Eltávolítási információk
Kattintson a Vezérlőpult, a Rendszer és biztonság elemre, majd a Windows Update elemre, majd a Lásd még, kattintson a Telepített frissítések elemre, és válassza ki a frissítések listáját.
A Microsoft köszönetét fejezi ki az alábbiakért, hogy együttműködve segít az ügyfelek védelmében:
Christian Kulenkampff az MSXML entity URI biztonsági rés jelentéséhez (CVE-2014-1816)
Egyéb információk
Microsoft Active Protections Program (MAPP)
Az ügyfelek biztonságának javítása érdekében a Microsoft minden havi biztonsági frissítési kiadás előtt sebezhetőségi információkat nyújt a főbb biztonsági szoftverszolgáltatóknak. A biztonsági szoftverszolgáltatók ezt a biztonsági résinformációt felhasználhatják arra, hogy biztonsági szoftvereiken vagy eszközeiken keresztül frissített védelmet nyújtsanak az ügyfeleknek, például víruskereső, hálózati behatolásészlelő rendszerek vagy gazdagépalapú behatolás-megelőzési rendszerek segítségével. Annak megállapításához, hogy az aktív védelem elérhető-e a biztonsági szoftverszolgáltatóktól, keresse fel a programpartnerek által biztosított aktív védelmi webhelyeket a Microsoft Active Protections Program (MAPP) partnerei között.
Támogatás
Segítség és támogatás beszerzése ehhez a biztonsági frissítéshez
A Microsoft Tudásbázisban megadott információk "az adott módon" vannak megadva, semmilyen garancia nélkül. A Microsoft kizár minden kifejezett vagy vélelmezett garanciát, beleértve a kereskedelmi forgalomra és az adott célra való alkalmasságra vonatkozó szavatosságot. A Microsoft Corporation vagy beszállítói semmilyen esetben sem vonhatók felelősségre semmilyen kárért, beleértve a közvetlen, közvetett, járulékos, következményi, üzleti nyereség elvesztését vagy különleges károkat, még akkor sem, ha a Microsoft Corporationt vagy szállítóit értesítették az ilyen károk lehetőségéről. Egyes államok nem teszik lehetővé a következményi vagy járulékos károkért való felelősség kizárását vagy korlátozását, így a fenti korlátozás nem alkalmazható.
Változatok
1.0-s verzió (2014. június 10.): Közlemény megjelent.
1.1-es verzió (2014. július 10.): A Windows Server 2003 rendszerekEN az MSXML 6.0 frissítés előfeltételeinek megszüntetésére módosított közlemény. Ez csak tájékoztató jellegű változás. Azoknak az ügyfeleknek, akik már sikeresen frissítették a rendszereiket, nem kell semmilyen műveletet végrehajtaniuk.
Információbiztonsági rendszergazdaként a Microsoft Purview és a kapcsolódó szolgáltatások használatával tervezheti meg és valósíthatja meg a bizalmas adatok adatbiztonságát. Ön a felelős a kockázatok csökkentéséért azáltal, hogy védelmet nyújt a Microsoft 365 által felügyelt együttműködési környezetekben lévő adatoknak a belső és külső fenyegetések ellen, valamint az AI-szolgáltatások által használt adatok védelmével. Emellett adatvédelmet, adatveszteség-megelőzést, adatmegőrzést, belső kockázatkezelést, va
.gif)
Megjegyzés: