Säkerhetsbulletin
Microsoft Security Bulletin MS07-054 – Viktigt
Sårbarhet i MSN Messenger och Windows Live Messenger kan tillåta fjärrkodkörning (942099)
Publicerad: 11 september 2007 | Uppdaterad: 12 september 2007
Version: 1.1
Allmän information
Sammanfattning
Den här viktiga säkerhetsuppdateringen löser en offentligt avslöjad säkerhetsrisk i MSN Messenger och Windows Live Messenger. Säkerhetsrisken kan tillåta fjärrkörning av kod när en användare accepterar en webbkamera eller en videochattinbjudan från en angripare. En angripare som har utnyttjat den här säkerhetsrisken kan ta fullständig kontroll över det berörda systemet. Användare vars konton är konfigurerade för att ha färre användarrättigheter i systemet kan påverkas mindre än användare som arbetar med administrativa användarrättigheter.
Kunder som använder MSN Messenger 7.0.0820 eller Windows Live Messenger 8.1 påverkas inte av den här säkerhetsrisken. Mer information finns i underavsnittet Berörd och Icke-påverkad programvara i det här avsnittet.
Mer information om sårbarheten finns i avsnittet Vanliga frågor och svar om den specifika sårbarhetsposten i nästa avsnitt, Sårbarhetsinformation.
Rekommendation Microsoft rekommenderar att kunder som använder MSN Messenger 6.2 och MSN Messenger 7.0 på Microsoft Windows 2000 Service Pack 4 uppgraderar till MSN Messenger 7.0.0820 så snart som möjligt. Kunder på andra Windows-plattformar som stöds, som kör MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 eller Windows Live Messenger 8.0, bör uppgradera till Windows Live Messenger 8.1 så snart som möjligt.
Kända problem. Ingen
Påverkad och icke-påverkad programvara
Följande programvara har testats för att avgöra vilka versioner eller utgåvor som påverkas. Andra versioner eller utgåvor har antingen passerat sin supportlivscykel eller påverkas inte.
Programvara som påverkas
| Operativsystem | Programvara | Maximal säkerhetspåverkan | Aggregerad allvarlighetsgrad | Bulletiner som ersatts av den här uppdateringen |
|---|---|---|---|---|
| Microsoft Windows 2000 Service Pack 4 | MSN Messenger 6.2\ MSN Messenger 7.0 | Fjärrkörning av kod | Viktigt! | Ingen |
| Windows XP Service Pack 2 | MSN Messenger 6.2 MSN Messenger 7.0\ MSN Messenger 7.5\ Windows Live Messenger 8.0\ | Fjärrkörning av kod | Viktigt! | Ingen |
| Windows XP Professional x 64 Edition | MSN Messenger 6.2 MSN Messenger 7.0\ MSN Messenger 7.5\ Windows Live Messenger 8.0\ | Fjärrkörning av kod | Viktigt! | Ingen |
| Windows XP Professional x64 Edition Service Pack 2 | MSN Messenger 6.2 MSN Messenger 7.0\ MSN Messenger 7.5\ Windows Live Messenger 8.0\ | Fjärrkörning av kod | Viktigt! | Ingen |
| Windows Server 2003 Service Pack 1 och Windows Server 2003 Service Pack 2 | MSN Messenger 6.2 MSN Messenger 7.0\ MSN Messenger 7.5\ Windows Live Messenger 8.0\ | Fjärrkörning av kod | Viktigt! | Ingen |
| Windows Server 2003 x64 Edition | MSN Messenger 6.2 MSN Messenger 7.0\ MSN Messenger 7.5\ Windows Live Messenger 8.0\ | Fjärrkörning av kod | Viktigt! | Ingen |
| Windows Server 2003 x64 Edition Service Pack 2 | MSN Messenger 6.2 MSN Messenger 7.0\ MSN Messenger 7.5\ Windows Live Messenger 8.0\ | Fjärrkörning av kod | Viktigt! | Ingen |
| Windows Vista | MSN Messenger 6.2 MSN Messenger 7.0\ MSN Messenger 7.5\ Windows Live Messenger 8.0\ | Fjärrkörning av kod | Viktigt! | Ingen |
| Windows Vista x64 Edition | MSN Messenger 6.2 MSN Messenger 7.0\ MSN Messenger 7.5\ Windows Live Messenger 8.0\ | Fjärrkörning av kod | Viktigt! | Ingen |
Programvara som inte påverkas
| Operativsystem | Programvara |
|---|---|
| Microsoft Windows 2000 Service Pack 4 | MSN Messenger 7.0.0820 |
| Windows XP Service Pack 2 | Windows Live Messenger 8.1 |
| Windows XP Professional x 64 Edition | Windows Live Messenger 8.1 |
| Windows XP Professional x64 Edition Service Pack 2 | Windows Live Messenger 8.1 |
| Windows Server 2003 Service Pack 1 och Windows Server 2003 Service Pack 2 | Windows Live Messenger 8.1 |
| Windows Server 2003 x64 Edition | Windows Live Messenger 8.1 |
| Windows Server 2003 x64 Edition Service Pack 2 | Windows Live Messenger 8.1 |
| Windows Vista | Windows Live Messenger 8.1 |
| Windows Vista x64 Edition | Windows Live Messenger 8.1 |
Vanliga frågor och svar om den här säkerhetsuppdateringen
Hur distribueras den här uppgraderingen?
När du loggar in på MSN Messenger-tjänsten uppmanas användare av MSN Messenger 6.2 och MSN Messenger 7.0 på utgåvor av Microsoft Windows 2000 Service Pack 4 att uppmanas av klientdistributionsmekanismen i MSN Messenger-tjänsten att acceptera uppgraderingen till MSN Messenger 7.0.0820.
Dessutom kan användare som vill ladda ned uppgraderingen till MSN Messenger 7.0.0820 omedelbart göra det med hjälp av länken Download Center som finns i tabellen Påverkad programvara. Observera att detta endast gäller användare av MSN Messenger 6.2 och MSN Messenger 7.0 på utgåvor som stöds av Microsoft Windows 2000 Service Pack 4.
När du loggar in på MSN Messenger eller Windows Live Messenger-tjänsten uppmanas användare av MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 och Windows Live Messenger 8.0 på plattformar som stöds senare än Microsoft Windows 2000 Service Pack 4 av mekanismen för klientdistribution i MSN Messenger eller Windows Live Messenger-tjänsten att acceptera uppgraderingen till Windows Live Messenger 8.1.
Användare som vill ladda ned uppgraderingen till Windows Live Messenger 8.1 omedelbart kan också göra det med hjälp av länken Download Center som finns i tabellen Påverkad programvara. Observera att detta endast gäller användare av MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 och Windows Live Messenger 8.0 på plattformar som stöds senare än Microsoft Windows 2000 Service Pack 4.
Annars kan användare av sårbara versioner av MSN Messenger- eller Windows Live Messenger-klienter inte tillåtas ansluta till MSN Messenger- eller Windows Live Messenger-tjänsten.
Varför släpper Microsoft den här uppgraderingen via MSN Messenger- eller Windows Live Messenger-tjänsten samt tillhandahåller nedladdningar?
Microsoft utfärdar för närvarande uppgraderingar för MSN Messenger- eller Windows Live Messenger-klienten med hjälp av MSN Messenger- eller Windows Live Messenger-tjänsten eftersom dessa onlinetjänster har en egen mekanism för klientdistribution. Nedladdningscenterlänkar är dock också tillgängliga för specifika MSN Messenger- eller Windows Live Messenger-klienter som körs på plattformar som finns i tabellen Påverkad programvara, eftersom användarna kan vilja ladda ned uppgraderingarna omedelbart.
Om det här är en uppgradering, hur kan jag identifiera om jag har en sårbar version av MSN Messenger eller Windows Live Messenger?
När du försöker logga in på MSN Messenger- eller Windows Live Messenger-tjänsten avgör klientdistributionsmekanismen automatiskt din aktuella klientversion och plattform och rekommenderar vid behov lämplig uppgradering. Du kan också verifiera din MSN Messenger- eller Windows Live Messenger-klientversion genom att klicka på Hjälp och sedan På.
Vad händer om jag inte uppgraderar till MSN Messenger 7.0.0820 eller Windows Live Messenger 8.1?
Om du inte uppgraderar till en icke-påverkad version av MSN Messenger- eller Windows Live Messenger-klienten får du, beroende på din plattform, ett meddelande om att uppgradera vid varje försök att logga in. Om du inte accepterar uppgraderingen kanske du inte får åtkomst till MSN Messenger eller Windows Live Messenger-tjänsten. Mer information om plattformar och uppgraderingsversioner av MSN Messenger- och Windows Live Messenger-klienter finns i tabellen Icke-påverkad programvara i det här avsnittet.
Påverkas andra Microsoft Real-Time Collaboration-program, till exempel Windows Messenger eller Office Communicator, av den här sårbarheten?
Nej. Andra meddelandeprogram påverkas inte eftersom de inte innehåller den sårbara komponenten.
Information om säkerhetsrisker
Allvarlighetsgradsklassificeringar och sårbarhetsidentifierare
| Programvara som påverkas | MSN Messenger Webbkamera eller Video Chat Session Remote Code Execution Vulnerability - CVE-2007-2931 | Aggregerad allvarlighetsgrad |
|---|---|---|
| MSN Messenger 6.2\ MSN Messenger 7.0\ MSN Messenger 7.5\ Windows Live Messenger 8.0 | Viktigfjärrkodkörning | Viktigt |
MSN Messenger Webbkamera eller Video Chat Session Remote Code Execution Vulnerability - CVE-2007-2931
Det finns en sårbarhet för fjärrkörning av kod i MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 och Windows Live Messenger 8.0. Säkerhetsrisken kan tillåta fjärrkörning av kod när en användare väljer att acceptera en webbkamera eller videochattinbjudan från en angripare. En angripare som har utnyttjat den här säkerhetsrisken kan ta fullständig kontroll över det berörda systemet. Användare vars konton är konfigurerade för att ha färre användarrättigheter i systemet kan påverkas mindre än användare som arbetar med administrativa användarrättigheter.
Information om hur du visar den här sårbarheten som en standardpost i listan Vanliga sårbarheter och exponeringar finns i CVE-2007-2931.
Mildrande faktorer för msn messenger webbkamera eller videochatt session remote code execution vulnerability - CVE-2007-2931
Åtgärd syftar på en inställning, gemensam konfiguration eller allmän bästa praxis, som finns i ett standardtillstånd, som kan minska allvarlighetsgraden för utnyttjande av en säkerhetsrisk. Följande förmildrande faktorer kan vara till hjälp i din situation:
- För att utnyttja sårbarheten måste en angripare övertala en användare att acceptera en webbkamera eller videochattinbjudan i ett MSN Messenger- eller Windows Live Messenger-meddelande. En angripare skulle inte ha något sätt att tvinga användare att acceptera webbkameran eller videochattinbjudan. I stället måste en angripare övertyga användarna att acceptera inbjudan till webbkameran eller videochatten.
- En angripare som har utnyttjat den här säkerhetsrisken kan få samma användarrättigheter som den lokala användaren. Användare vars konton är konfigurerade för att ha färre användarrättigheter i systemet kan påverkas mindre än användare som arbetar med administrativa användarrättigheter.
- Användare av Windows Live Messenger 8.1, som släpptes i januari 2007, är redan skyddade från den här säkerhetsrisken. Användare av MSN Messenger 7.0.0820, som nyligen släpptes, är också redan skyddade mot den här säkerhetsrisken.
Lösningar för msn messenger webbkamera eller videochatt session remote code execution vulnerability - CVE-2007-2931
Lösning refererar till en inställning eller konfigurationsändring som inte korrigerar den underliggande säkerhetsrisken, men som skulle hjälpa till att blockera kända attackvektorer innan du utför uppgraderingen. Microsoft har testat följande lösningar och tillstånd i diskussionen om en lösning minskar funktionaliteten:
Blockera MSN Messenger- eller Windows Live Messenger-trafik med hjälp av ISA Server. Se Microsoft Knowledge Base-artikel 925120.
Lösningspåverkan. Detta hindrar MSN Messenger- eller Windows Live Messenger-trafik från att komma in i eller lämna företaget.
Blockera välj nätverksportar för MSN Messenger eller Windows Live Messenger. Se microsofts kunskapsbasartikel 927847.
Lösningspåverkan. Detta gör det möjligt för administratörer att selektivt förhindra webbkamera- och videochattsessioner, i stället för att blockera MSN Messenger- eller Windows Live Messenger-trafik helt.
Vanliga frågor och svar för MSN Messenger Webbkamera eller Video Chat Session – Sårbarhet för fjärrkodkörning – CVE-2007-2931
Vad är sårbarhetens omfattning?
Det här är en sårbarhet för fjärrkörning av kod. En angripare som har utnyttjat den här säkerhetsrisken kan ta fullständig kontroll över ett berört system. En angripare kan sedan installera program eller visa, ändra eller ta bort data eller skapa nya konton med fullständiga användarrättigheter. Användare vars konton är konfigurerade för att ha färre användarrättigheter i systemet kan påverkas mindre än användare som arbetar med administrativa användarrättigheter.
Vad orsakar sårbarheten?
Säkerhetsrisken finns på det sätt som MSN Messenger eller Windows Live Messenger hanterar särskilt utformade webbkamera- eller videochattsessioner. Därför kan minnet skadas på ett sådant sätt att en angripare kan köra godtycklig kod i säkerhetskontexten för den inloggade användaren.
Vad kan en angripare använda sårbarheten för att göra?
En angripare som har utnyttjat den här säkerhetsrisken kan ta fullständig kontroll över ett berört system. En angripare kan sedan installera program eller visa, ändra eller ta bort data eller skapa nya konton med fullständiga användarrättigheter. Användare vars konton är konfigurerade för att ha färre användarrättigheter i systemet kan påverkas mindre än användare som arbetar med administrativa användarrättigheter.
Hur kan en angripare utnyttja sårbarheten?
En angripare kan skicka en inbjudan till en användare att delta i en särskilt utformad webbkamera eller videochattsession som är utformad för att utnyttja den här sårbarheten. En angripare skulle dock inte ha något sätt att tvinga användare att ansluta till en webbkamera eller videochattsession. I stället måste en angripare övertyga användarna att acceptera inbjudan till webbkameran eller videochatten.
Vilka system är i första hand utsatta för sårbarheten?
Den här sårbarheten kräver att en användare loggas in på MSN Messenger- eller Windows Live Messenger-tjänsten och accepterar en webbkamera eller videochattinbjudan för att skadliga åtgärder ska inträffa. Därför är alla system där MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 eller Windows Live Messenger 8.0 används, till exempel arbetsstationer eller servrar, i riskzonen för denna sårbarhet.
Vad gör uppdateringen?
MSN Messenger 7.0.0820 och Windows Live Messenger 8.1 har uppdaterats för att hantera webbkamera- eller videochattsessioner tillräckligt.
Jag använder inte några webbkameror. Måste jag fortfarande uppgradera?
Ja. När du loggar in meddelar MSN Messenger eller Windows Live Messenger-tjänsten dig att uppgradera till lämplig MSN Messenger- eller Windows Live Messenger-klient för din plattform om du inte har gjort det.
Hade den här säkerhetsbulletinen offentliggjorts när säkerhetsbulletinen utfärdades?
Ja. Denna sårbarhet har offentliggjorts. Det har tilldelats common vulnerability and exposure number CVE-2007-2931.
Hade Microsoft fått några rapporter om att den här säkerhetsrisken utnyttjades när den här säkerhetsbulletinen utfärdades?
Nej. Microsoft hade sett exempel på konceptbeviskod publicerade offentligt men hade inte fått någon information som tyder på att denna sårbarhet hade använts offentligt för att attackera kunder när den här säkerhetsbulletinen ursprungligen utfärdades.
Uppdatera information
Distribution av säkerhetsuppdatering
Programvara som påverkas
Om du vill ha information om den specifika säkerhetsuppdateringen för din berörda programvara klickar du på lämplig länk:
MSN Messenger (alla versioner) på Windows 2000
Referenstabell
Följande tabell innehåller information om att uppgradera till MSN Messenger 7.0.0820:
| Krav | MSN Messenger 6.2 på Microsoft Windows 2000 Service Pack 4\ MSN Messenger 7.0 på Microsoft Windows 2000 Service Pack 4 |
|---|---|
| Distribution | När du loggar in på MSN Messenger-tjänsten godkänner du uppmaningen att uppgradera till MSN Messenger 7.0.0820.\ \ Dessutom kan användare som vill ladda ned uppgraderingen till MSN Messenger 7.0.0820 omedelbart göra det med hjälp av länken Download Center som finns i tabellen Påverkad programvara. Observera att detta endast gäller användare av MSN Messenger 6.2 och MSN Messenger 7.0 på utgåvor som stöds av Microsoft Windows 2000 Service Pack 4. |
| Omstartskrav | Ja, du kan behöva starta om systemet efter uppgraderingen om du under uppgraderingen har användare med flera MSN Messenger-sessioner aktiva i systemet |
| Borttagningsinformation | Använd verktyget Lägg till eller ta bort program i Kontrollpanelen |
| Verifiera uppgraderingen | I MSN Messenger klickar du på Hjälp och sedan på Om. Kontrollera att versionsnumret är 7.0.0820. |
MSN Messenger eller Windows Live Messenger (alla versioner) på Windows XP, Windows Server 2003 och Windows Vista
Referenstabell
Följande tabell innehåller information om hur du uppgraderar till Windows Live Messenger 8.1:
| Krav | MSN Messenger 6.2 på Windows XP Service Pack 2\ MSN Messenger 7.0 på Windows XP Service Pack 2\ MSN Messenger 7.5 på Windows XP Service Pack 2\ Windows Live Messenger 8.0 på Windows XP Service Pack 2\ MSN Messenger 2 6.2 på Windows XP Professional x64 Edition\ MSN Messenger 7.0 på Windows XP Professional x64 Edition\ MSN Messenger 7.5 på Windows XP Professional x64 Edition\ Windows Live Messenger 8.0 på Windows XP Professional x64 Edition\ MSN Messenger 6.2 på Windows XP Professional x64 Edition Service Pack 2\ MSN Messenger 7.0 på Windows XP Professional x64 Edition Service Pack 2\ MSN Messenger 7.5 på Windows XP Professional x64 Edition Service Pack 2\ Windows Live Messenger 8.50 på Windows XP Professional x64 Edition Service Pack 2\ MSN Messenger 6.2 på Windows Server 2003 Service Pack 1 och Windows Server 2003 Service Pack 2\ MSN Messenger 7.0 på Windows Server 2003 Service Pack 1 och Windows Server 2003 Service Pack 2\ MSN Messenger 7.5 på Windows Server 2003 Service Pack 1 och Windows Server 2003 Service Pack 2\ Windows Live Messenger 8.0 på Windows Server 2003 Service Pack 1 och Windows Server 2003 Service Pack 22\ MSN Messenger 6.2 på Windows Server 2003 x64 Edition\ MSN Messenger 7.0 på Windows Server 2003 x64 Edition\ MSN Messenger 7.5 på Windows Server 2003 x64 Edition\ Windows Live Messenger 8.0 på Windows Server 2003 x64 Edition\ MSN Messenger 6.2 på Windows Server 2003 x64 Edition Service Pack 2\ MSN Messenger 7.0 på Windows Server 2003 x64 Edition Service Pack 2\ MSN Messenger 7.5 på Windows Server 2003 x Service Pack 2\ Windows Live Messenger 8.0 på Windows Server 2003 x64 Edition Service Pack 2\ MSN Messenger 6.2 på Windows Vista\ MSN Messenger 7.0 på Windows Vista\ MSN Messenger 7.5 på Windows Vista\ Windows Live Messenger 8.0 på Windows Vista\ MSN Messenger 6.2 på Windows Vista x64 Edition\ MSN Messenger 7.0 på Windows Vista x64 Edition\ MSN Messenger 7.5 på Windows Vista x64 Edition\ Windows Live Messenger 8.0 på Windows Vista x64 Edition |
|---|---|
| Distribution | När du loggar in på MSN Messenger eller Windows Live Messenger-tjänsten godkänner du uppmaningen att uppgradera till Windows Live Messenger 8.1.\ \ Dessutom kan användare som vill ladda ned uppgraderingen till Windows Live Messenger 8.1 omedelbart göra det med hjälp av länken Download Center som finns i tabellen Påverkad programvara. Observera att detta endast gäller användare av MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 och Windows Live Messenger 8.0 på plattformar som stöds senare än Microsoft Windows 2000 Service Pack 4. |
| Omstartskrav | Ja, du kan behöva starta om systemet efter uppgraderingen om du under uppgraderingen har användare med flera MSN Messenger- eller Windows Live Messenger-sessioner aktiva i systemet |
| Borttagningsinformation | Använd verktyget Lägg till eller ta bort program i Kontrollpanelen |
| Verifiera uppgraderingen | I Windows Live Messenger klickar du på Hjälp och sedan på Om. Kontrollera att versionsnumret är 8.1.0178.00. |
Övrig information
Tack
Microsoft tackar följande för att du samarbetar med oss för att skydda kunder:
- Woo Shi i team 509 för rapportering av msn Messenger Video Chat Remote Code Execution Vulnerability - CVE-2007-2931
Support
- Kunder i USA och Kanada kan få teknisk support från Microsoft Product Support Services på 1-866-PCSAFETY. Det kostar inget för supportsamtal som är associerade med säkerhetsuppdateringar.
- Internationella kunder kan få support från sina lokala Microsoft-dotterbolag. Det kostar ingenting för support som är associerad med säkerhetsuppdateringar. Mer information om hur du kontaktar Microsoft för supportproblem finns på webbplatsen för internationell support.
Friskrivning
Informationen som tillhandahålls i Microsoft Knowledge Base tillhandahålls "som den är" utan garanti av något slag. Microsoft frånsäger sig alla garantier, antingen uttryckliga eller underförstådda, inklusive garantier för säljbarhet och lämplighet för ett visst syfte. Under inga omständigheter ska Microsoft Corporation eller dess leverantörer vara ansvariga för eventuella skador, inklusive direkta, indirekta, tillfälliga, följdskador, förlust av företagsvinster eller särskilda skador, även om Microsoft Corporation eller dess leverantörer har informerats om risken för sådana skador. Vissa stater tillåter inte undantag eller begränsning av ansvar för följdskador eller oförutsedda skador, så den föregående begränsningen kanske inte gäller.
Revideringar
- V1.0 (September 11, 2007): Bulletin publicerat.
- V1.1 (12 september 2007): Länkar för nedladdningscenter som lagts till i tabellen Affected Software för uppgradering till Windows Live Messenger 8.1.
Byggd 2014-04-18T13:49:36Z-07:00