Säkerhetsbulletin
Microsoft Security Bulletin MS09-036 – Viktigt
Sårbarhet i ASP.NET i Microsoft Windows kan tillåta Denial of Service (970957)
Publicerad: 11 augusti 2009 | Uppdaterad: 13 augusti 2009
Version: 1.1
Allmän information
Sammanfattning
Den här säkerhetsuppdateringen åtgärdar en privat rapporterad säkerhetsrisk för Denial of Service i Microsoft .NET Framework-komponenten i Microsoft Windows. Den här sårbarheten kan bara utnyttjas när IIS 7.0 (Internet Information Services) 7.0 installeras och ASP.NET är konfigurerat för att använda integrerat läge i berörda versioner av Microsoft Windows. En angripare kan skapa särskilt utformade anonyma HTTP-begäranden som kan leda till att den berörda webbservern inte svarar förrän den associerade programpoolen startas om. Kunder som kör IIS 7.0-programpooler i klassiskt läge påverkas inte av den här sårbarheten.
Den här säkerhetsuppdateringen klassificeras som Viktig för alla berörda versioner av Microsoft Windows. Mer information finns i underavsnittet Berörd och Icke-påverkad programvara i det här avsnittet.
Säkerhetsuppdateringen åtgärdar säkerhetsrisken genom att ändra hur ASP.NET hanterar schemaläggning av begäranden. Mer information om sårbarheten finns i avsnittet Vanliga frågor och svar om den specifika sårbarhetsposten i nästa avsnitt, Sårbarhetsinformation.
Rekommendation De flesta kunder har automatisk uppdatering aktiverad och behöver inte vidta några åtgärder eftersom den här säkerhetsuppdateringen laddas ned och installeras automatiskt. Kunder som inte har aktiverat automatisk uppdatering måste söka efter uppdateringar och installera den här uppdateringen manuellt. Information om specifika konfigurationsalternativ vid automatisk uppdatering finns i Artikeln om Microsoft Knowledge Base 294871.
För administratörer och företagsinstallationer, eller slutanvändare som vill installera den här säkerhetsuppdateringen manuellt, rekommenderar Microsoft att kunderna tillämpar uppdateringen så snart som möjligt med hjälp av programvara för uppdateringshantering eller genom att söka efter uppdateringar med hjälp av Microsoft Update-tjänsten .
Se även avsnittet Identifierings- och distributionsverktyg och vägledning senare i den här bulletinen.
Kända problem. Ingen
Påverkad och icke-påverkad programvara
Följande programvara har testats för att avgöra vilka versioner eller utgåvor som påverkas. Andra versioner eller utgåvor har antingen passerat sin supportlivscykel eller påverkas inte. Om du vill fastställa supportlivscykeln för din programvaruversion eller utgåva går du till Microsoft Support Lifecycle.
Programvara som påverkas
*Eftersom IIS 7.0 inte körs på Windows Vista Starter och Windows Vista Home Basic påverkas inte följande utgåvor: Windows Vista Starter (32-bitars), Windows Vista Home Basic (32-bitars) och Windows Vista Home Basic (64-bitars).
**Installation av Windows Server 2008-serverkärnan påverkas inte. Den sårbarhet som åtgärdas av den här uppdateringen påverkar inte versioner av Windows Server 2008 som stöds om Windows Server 2008 installerades med installationsalternativet Server Core. Mer information om det här installationsalternativet finns i Server Core. Observera att installationsalternativet Server Core inte gäller för vissa utgåvor av Windows Server 2008. se Jämför installationsalternativ för Server Core.
Programvara som inte påverkas
| Operativsystem |
|---|
| Microsoft Windows 2000 Service Pack 4 |
| Windows XP Service Pack 2 |
| Windows XP Service Pack 3 |
| Windows XP Professional x64 Edition Service Pack 2 |
| Windows Server 2003 Service Pack 2 |
| Windows Server 2003 x64 Edition Service Pack 2 |
| Windows Server 2003 med SP2 för Itanium-baserade system |
| Windows Vista Service Pack 2 |
| Windows Vista x64 Edition Service Pack 2 |
| Windows Server 2008 för 32-bitars system Service Pack 2 |
| Windows Server 2008 för x64-baserade System Service Pack 2 |
| Windows Server 2008 för Itanium-baserade System Service Pack 2 |
| Windows 7 för 32-bitarssystem |
| Windows 7 för x64-baserade system |
| Windows Server 2008 R2 för x64-baserade system |
| Windows Server 2008 R2 för Itanium-baserade system |
Vanliga frågor och svar om den här säkerhetsuppdateringen
Var finns information om filinformationen?
Se referenstabellerna i avsnittet Distribution av säkerhetsuppdatering för platsen för filinformationen.
Jag använder en äldre version av programvaran som beskrivs i den här säkerhetsbulletinen. Vad ska jag göra?
Den berörda programvaran som anges i den här bulletinen har testats för att avgöra vilka versioner som påverkas. Andra versioner har passerat sin supportlivscykel. Om du vill fastställa supportlivscykeln för din programvaruversion går du till Microsoft Support Lifecycle.
Det bör vara en prioritet för kunder som har äldre versioner av programvaran att migrera till versioner som stöds för att förhindra potentiell exponering för sårbarheter. Mer information om Windows produktlivscykel finns i Microsoft Support Lifecycle. Mer information om den utökade supportperioden för säkerhetsuppdateringar för dessa programvaruversioner eller utgåvor finns i Microsoft Product Support Services.
Kunder som behöver anpassad support för äldre versioner måste kontakta sin representant för Microsoft-kontoteamet, sin tekniska kontoansvarige eller lämplig Microsoft-partnerrepresentant för anpassade supportalternativ. Kunder utan ett allians-, Premier- eller auktoriserade kontrakt kan kontakta sitt lokala Microsoft-försäljningskontor. Om du vill ha kontaktinformation går du till Microsoft Worldwide Information, väljer land och klickar sedan på Gå för att se en lista med telefonnummer. När du ringer ber du att få tala med den lokala säljchefen för Premier Support. Mer information finns i Vanliga frågor och svar om Produktsupport för Windows-operativsystem.
Varför påverkas inte Windows Vista Service Pack 2 och Windows Server 2008 Service Pack 2?
Korrigeringen för det här problemet ingår redan i versionerna av Microsoft .NET Framework som levereras med Windows Vista Service Pack 2 och Windows Server 2008 Service Pack 2.
Varför påverkas Microsoft .NET Framework 3.5 och Microsoft .NET Framework 3.5 Service Pack 1?
Microsoft .NET Framework 3.5 innehåller Microsoft .NET Framework 2.0 Service Pack 1 och Microsoft .NET Framework 3.0 Service Pack 1-underkomponenter. Microsoft .NET Framework 3.5 Service Pack 1 innehåller Microsoft .NET Framework 2.0 Service Pack 2 och Microsoft .NET Framework 3.0 Service Pack 2-underkomponenter. Därför innehåller både Microsoft .NET Framework 3.5 och Microsoft .NET Framework 3.5 Service Pack 1 sårbara underkomponenter.
Varför erbjuds jag inte den här säkerhetsuppdateringen via automatisk uppdatering?
Den här säkerhetsuppdateringen erbjuds endast för system som har IIS 7.0 installerat på ett operativsystem som anges i tabellen Berörd programvara. System som anges i avsnittet Berörd programvara i den här bulletinen, men där IIS 7.0 inte är installerat, erbjuds inte den här uppdateringen via automatisk uppdatering eftersom den här sårbarheten bara kan utnyttjas när IIS 7.0 installeras.
Information om säkerhetsrisker
Allvarlighetsgradsklassificeringar och sårbarhetsidentifierare
Följande allvarlighetsgradsklassificeringar förutsätter den potentiella maximala effekten av sårbarheten. Information om sannolikheten, inom 30 dagar efter att säkerhetsbulletinen släpptes, för sårbarhetens sårbarhets exploaterbarhet i förhållande till dess allvarlighetsgrad och säkerhetspåverkan, finns i sammanfattningen av sårbarhetsindexet för sårbarhet i augusti. Mer information finns i Microsoft Exploitability Index.
| Programvara som påverkas | Remote Unauthenticated Denial of Service in ASP.NET Vulnerability – CVE-2009-1536 | Aggregerad allvarlighetsgrad |
|---|---|---|
| Microsoft .NET Framework 2.0 Service Pack 1 och Microsoft .NET Framework 3.5 i Windows Vista och Windows Vista Service Pack 1 | Viktigt \ Denial of Service | Viktigt |
| Microsoft .NET Framework 2.0 Service Pack 1 och Microsoft .NET Framework 3.5 på Windows Vista x64 Edition och Windows Vista x64 Edition Service Pack 1 | Viktigt \ Denial of Service | Viktigt |
| Microsoft .NET Framework 2.0 Service Pack 1 och Microsoft .NET Framework 3.5 på Windows Server 2008 | Viktigt \ Denial of Service | Viktigt |
| Microsoft .NET Framework 2.0 Service Pack 1 och Microsoft .NET Framework 3.5 på Windows Server 2008 x64 Edition | Viktigt \ Denial of Service | Viktigt |
| Microsoft .NET Framework 2.0 Service Pack 1 och Microsoft .NET Framework 3.5 på Windows Server 2008 för Itanium-baserade system | Viktigt \ Denial of Service | Viktigt |
| Microsoft .NET Framework 2.0 Service Pack 2 och Microsoft .NET Framework 3.5 Service Pack 1 i Windows Vista och Windows Vista Service Pack 1 | Viktigt \ Denial of Service | Viktigt |
| Microsoft .NET Framework 2.0 Service Pack 2 och Microsoft .NET Framework 3.5 Service Pack 1 på Windows Vista x64 Edition och Windows Vista x64 Edition Service Pack 1 | Viktigt \ Denial of Service | Viktigt |
| Microsoft .NET Framework 2.0 Service Pack 2 och Microsoft .NET Framework 3.5 Service Pack 1 på Windows Server 2008* | Viktigt \ Denial of Service | Viktigt |
| Microsoft .NET Framework 2.0 Service Pack 2 och Microsoft .NET Framework 3.5 Service Pack 1 på Windows Server 2008 x64 Edition* | Viktigt \ Denial of Service | Viktigt |
| Microsoft .NET Framework 2.0 Service Pack 2 och Microsoft .NET Framework 3.5 Service Pack 1 på Windows Server 2008 Itanium-baserade system | Viktigt \ Denial of Service | Viktigt |
*Installation av Windows Server 2008-serverkärnan påverkas inte. Den sårbarhet som åtgärdas av den här uppdateringen påverkar inte versioner av Windows Server 2008 som stöds om Windows Server 2008 installerades med installationsalternativet Server Core. Mer information om det här installationsalternativet finns i Server Core. Observera att installationsalternativet Server Core inte gäller för vissa utgåvor av Windows Server 2008. se Jämför installationsalternativ för Server Core.
Remote Unauthenticated Denial of Service in ASP.NET Vulnerability – CVE-2009-1536
Det finns en säkerhetsrisk för Denial of Service på det sätt som ASP.NET hanterar schemaläggning av begäranden. En angripare kan utnyttja den här sårbarheten genom att skapa särskilt utformade anonyma HTTP-begäranden som gör att den berörda webbservern inte svarar förrän den associerade programpoolen startas om.
Information om hur du visar den här sårbarheten som en standardpost i listan Vanliga sårbarheter och exponeringar finns i CVE-2009-1536.
Minimera faktorer för oautentiserad överbelastning i ASP.NET sårbarhet – CVE-2009-1536
Åtgärd syftar på en inställning, gemensam konfiguration eller allmän bästa praxis, som finns i ett standardtillstånd, som kan minska allvarlighetsgraden för utnyttjande av en säkerhetsrisk. Följande förmildrande faktorer kan vara till hjälp i din situation:
- Den sårbara koden i Microsoft .NET Framework exponeras endast via IIS 7.0. För system som inte kör IIS 7.0 finns det inga kända attackvektorer för den här säkerhetsrisken.
- System som kör ASP.NET på IIS 7.0 i klassiskt läge påverkas inte av den här säkerhetsrisken.
Lösningar för oautentiserad överbelastning av fjärranslutning i ASP.NET sårbarhet – CVE-2009-1536
Lösningar refererar till inställningar eller konfigurationsändringar som inte korrigerar den underliggande säkerhetsrisken, men som skulle hjälpa till att blockera kända attackvektorer innan du tillämpar uppdateringen. Microsoft har testat följande lösningar och tillstånd i diskussionen om en lösning minskar funktionaliteten:
Växla till den interna IIS-trådpoolen
När ASP.NET 2.0 finns på IIS 7.0 i integrerat läge hanterar ASP.NET begäranden med hjälp av CLR-trådpoolen (Common Language Runtime). System där begäranden hanteras av den interna IIS 7.0-trådpoolen i stället för av CLR-trådpoolen påverkas inte av det här problemet. Mer information finns i MSDN-artikeln .NET: CLR:s trådpool.
Använd någon av följande två metoder för att konfigurera IIS 7.0 för att använda den interna trådpoolen för processhantering.
Metod 1: Ange värdet för maxConcurrentRequestsPerCPU i registret
Den här inställningen är global och påverkar alla programpooler. Information om hur du konfigurerar den här inställningen för enskilda programpooler finns i Metod 2 i det här avsnittet.
Varning Om du använder Registereditorn felaktigt kan det orsaka allvarliga problem som kan kräva att du installerar om operativsystemet. Microsoft kan inte garantera att problem som beror på felaktig användning av Registereditorn kan lösas. Använd Registereditorn på egen risk. Information om hur du redigerar registret finns i hjälpavsnittet "Ändra nycklar och värden" i Registereditorn (Regedit.exe) eller i hjälpavsnitten "Lägg till och ta bort information i registret" och "Redigera registerdata" i Regedt32.exe.
Obs! Vi rekommenderar att du säkerhetskopierar registret innan du redigerar det.
- Klicka på Start, klicka på Kör, skriv Regedit i rutan Öppna och klicka sedan på OK.
- Leta upp och klicka på följande registerundernyckel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0 - På menyn Redigera pekar du på Ny och klickar sedan på Nyckel.
- Skriv maxConcurrentRequestsPerCPU och tryck sedan på Retur.
- Klicka på nyckeln maxConcurrentRequestsPerCPU.
- På menyn Redigera pekar du på Ny och klickar sedan på DWORD.
- Skriv maxConcurrentRequestsPerCPU och tryck sedan på Retur.
- På menyn Redigera klickar du på Ändra för att ändra registerposten maxConcurrentRequestsPerCPU.
- I rutan Värdedata skriver du 0 och klickar sedan på OK.
- Avsluta Registereditorn.
- Använd iisreset.exe för att starta om Microsoft Internet Information Services (IIS) på webbservern som är värd för programmet genom att köra följande kommando på en kommandorad:
iisreset /restart
Ange värdet för maxConcurrentRequestsPerCPUvia . REG-fil
Windows Registry Editor version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0]
"MaxConcurrentRequestsPerCPU"=dword:00000000Du kan använda den här .reg filen på enskilda system genom att dubbelklicka på den. Du kan också använda den på olika domäner med hjälp av grupprincip. Mer information om grupprincip finns på följande Microsoft-webbplatser:
grupprincip samling
Vad är grupprincip objektredigeraren?
Grundläggande grupprincip verktyg och inställningarLösningspåverkan. Beroende på vilken typ av program som körs i den här programpoolen kan programmets prestanda påverkas.
Så här återställer du lösningen.
Ångra lösningen manuellt
- Klicka på Start, klicka på Kör, skriv Regedit i rutan Öppna och klicka sedan på OK. Leta upp och klicka på följande registerundernyckel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0\maxConcurrentRequestsPerCPU - Högerklicka på undernyckeln maxConcurrentRequestsPerCPU , klicka på Ta bort och klicka sedan på Ja.
- Avsluta registereditorn. Använd Iisreset.exe för att starta om Microsoft Internet Information Services (IIS) på webbservern som är värd för programmet genom att köra följande kommando från en kommandorad:
iisreset /restart
Ångra lösningen via en . REG-fil
Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0]
"MaxConcurrentRequestsPerCPU"=dword:00000000Du kan använda den här .reg filen på enskilda system genom att dubbelklicka på den. Du kan också använda den på olika domäner med hjälp av grupprincip. Mer information om grupprincip finns på följande Microsoft-webbplatser:
grupprincip samling
Vad är grupprincip objektredigeraren?
Grundläggande grupprincip verktyg och inställningarMetod 2: Ange värdet för maxConcurrentRequestsPerCPUför en programpool i avsnittet ASP.NET konfiguration i ett ASPNET. Konfigurationsfil
Obs! Den här lösningen gäller endast för system där Microsoft .NET Framework 2.0 SP2 eller Microsoft .NET Framework 3.5 SP1 körs. Tidigare versioner av Microsoft .NET Framework läser inte aspnet.config för den här informationen. Det här värdet åsidosätter det värde som anges för maxConcurrentRequestsPerCPU i registret.
Obs! Om du vill ångra den här lösningen måste du återställa den ursprungliga versionen av filen aspnet.config. Skapa en säkerhetskopia innan du redigerar den här filen.
Öppna filen aspnet.config för programpoolen och ange sedan nya värden för parametern maxConcurrentRequestsPerCPU enligt följande:
<system.web>
<applicationPool maxConcurrentRequestsPerCPU="0"/>
</system.web>Lösningspåverkan. Beroende på vilken typ av program som körs i den här programpoolen kan programmets prestanda påverkas.
Så här återställer du lösningen. Återställ den ursprungliga versionen av aspnet.config-filen.
Vanliga frågor och svar om oautentiserad denial of service i ASP.NET sårbarhet – CVE-2009-1536
Vad är sårbarhetens omfattning?
Detta är en säkerhetsrisk för Denial of Service som kan göra det möjligt för en angripare att orsaka att en webbserver blir icke-responsiv.
Vad orsakar sårbarheten?
Den här sårbarheten orsakas av ASP.NET felaktigt hanterar schemaläggning av begäranden.
Vad kan en angripare använda sårbarheten för att göra?
En angripare som har utnyttjat den här säkerhetsrisken kan göra att programpoolen på den berörda webbservern inte svarar förrän programpoolen startas om. Det innebär att webbsidor som använder ASP.NET i samma programpool inte längre kan nås och returnerar ett HTTP-fel.
Alla non-ASP.NET funktioner på servern påverkas inte när en server är sårbar för det här problemet och attackeras. HTML-sidor fortsätter till exempel att läsas in normalt.
Det här är en överbelastningsrisk på programnivå. För att återställningen ska lyckas måste antingen IIS återställas eller så måste den berörda programpoolen återvinnas, men serveroperativsystemet behöver inte startas om.
Vad är ASP.NET?
ASP.NET är en samling tekniker inom Microsoft .NET Framework som gör det möjligt för utvecklare att skapa webbprogram och XML-webbtjänster.
Till skillnad från traditionella webbsidor, som använder en kombination av statisk HTML och skript, använder ASP.NET kompilerade, händelsedrivna sidor. Eftersom ASP.NET är en webbaserad programmiljö som kräver att en underliggande webbserver tillhandahåller grundläggande HTTP-funktioner, körs ASP.NET ovanpå IIS (Internet Information Services). Mer information finns i Den officiella Microsoft ASP.NET-webbplatsen.
Vad är skillnaden mellan integrerat läge och klassiskt läge i IIS 7.0?
I IIS 7.0 kan varje webbplats som finns på servern köras i antingen integrerat läge eller klassiskt läge. Integrerat läge är standardläget i IIS 7.0 och ger mer detaljerad kontroll över begärandeprocessen. Klassiskt läge återgår till IIS 6.0-beteendet när integrerat läge ännu inte var tillgängligt. Mer information finns i Dra nytta av den integrerade IIS 7.0-pipelinen.
Vad är en programpool?
I IIS 7.0 är en programpool en grupp med en eller flera URL:er som hanteras av en arbetsprocess eller en uppsättning arbetsprocesser. Programpooler anger gränser för de program som de innehåller, vilket innebär att program som körs utanför en viss programpool inte kan påverka de program som körs i programpoolen. Mer information finns i IIS 7.0: Hantera programpooler i IIS 7.0.
Hur kan en angripare utnyttja sårbarheten?
En angripare kan utnyttja den här sårbarheten genom att skapa en särskilt utformad serie anonyma HTTP-begäranden till ett berört system och därmed göra att webbservern som körs på det här systemet inte svarar.
Vilka system är i första hand utsatta för sårbarheten?
Servrar där ASP 2.0 finns på IIS 7.0 i integrerat läge är i fara.
Vad gör uppdateringen?
Uppdateringen ändrar hur ASP.NET hanterar schemaläggning av begäranden.
Hade den här säkerhetsbulletinen offentliggjorts när säkerhetsbulletinen utfärdades?
Nej. Microsoft har fått information om den här säkerhetsrisken genom ett ansvarsfullt avslöjande. Microsoft hade inte fått någon information som tyder på att denna säkerhetsrisk hade offentliggjorts när den här säkerhetsbulletinen ursprungligen utfärdades.
Hade Microsoft fått några rapporter om att den här säkerhetsrisken utnyttjades när den här säkerhetsbulletinen utfärdades?
Ja. Microsoft är medvetet om begränsade riktade attacker som försöker utnyttja den rapporterade sårbarheten.
Uppdatera information
Verktyg och vägledning för identifiering och distribution
Hantera de program- och säkerhetsuppdateringar som du behöver distribuera till servrar, stationära och mobila system i din organisation. Mer information finns i TechNet Update Management Center. Webbplatsen Microsoft TechNet Security innehåller ytterligare information om säkerhet i Microsoft-produkter.
Säkerhetsuppdateringar är tillgängliga från Microsoft Update och Windows Update. Säkerhetsuppdateringar är också tillgängliga från Microsoft Download Center. Du hittar dem enklast genom att göra en nyckelordssökning efter "säkerhetsuppdatering".
Slutligen kan säkerhetsuppdateringar laddas ned från Microsoft Update-katalogen. Microsoft Update Catalog innehåller en sökbar katalog med innehåll som görs tillgängligt via Windows Update och Microsoft Update, inklusive säkerhetsuppdateringar, drivrutiner och servicepaket. Genom att söka med hjälp av säkerhetsbulletinens nummer (till exempel "MS07-036") kan du lägga till alla tillämpliga uppdateringar i din korg (inklusive olika språk för en uppdatering) och ladda ned till den mapp som du väljer. Mer information om Microsoft Update Catalog finns i Vanliga frågor och svar om Microsoft Update Catalog.
Från och med den 1 augusti 2009 upphör Microsoft att stödja Office Update och inventeringsverktyget för Office Update. Om du vill fortsätta att hämta de senaste uppdateringarna för Microsoft Office-produkter använder du Microsoft Update. Mer information finns i Om Microsoft Office Update: Vanliga frågor och svar.
Vägledning för identifiering och distribution
Microsoft tillhandahåller vägledning för identifiering och distribution för säkerhetsuppdateringar. Den här vägledningen innehåller rekommendationer och information som kan hjälpa IT-proffs att förstå hur du använder olika verktyg för identifiering och distribution av säkerhetsuppdateringar. Mer information finns i Artikeln om Microsoft Knowledge Base 961747.
Microsoft Baseline Security Analyzer
Med Microsoft Baseline Security Analyzer (MBSA) kan administratörer genomsöka lokala system och fjärrsystem efter saknade säkerhetsuppdateringar samt vanliga säkerhetsfelkonfigurationer. Mer information om MBSA finns i Microsoft Baseline Security Analyzer.
Följande tabell innehåller mbsa-identifieringssammanfattningen för den här säkerhetsuppdateringen.
| Programvara | MBSA 2.1 |
|---|---|
| Windows Vista och Windows Vista Service Pack 1 | Ja |
| Windows Vista x64 Edition och Windows Vista x64 Edition Service Pack 1 | Ja |
| Windows Server 2008 för 32-bitarssystem | Ja |
| Windows Server 2008 för x64-baserade system | Ja |
| Windows Server 2008 för Itanium-baserade system | Ja |
Mer information om MBSA 2.1 finns i vanliga frågor och svar om MBSA 2.1.
Windows Server Update Services
Med hjälp av Windows Server Update Services (WSUS) kan administratörer distribuera de senaste kritiska uppdateringarna och säkerhetsuppdateringarna för Windows 2000-operativsystem och senare, Office XP och senare, Exchange Server 2003 och SQL Server 2000. Mer information om hur du distribuerar den här säkerhetsuppdateringen med Windows Server Update Services finns på webbplatsen för Windows Server Update Services.
Systemhanteringsserver
Följande tabell innehåller sammanfattningen av SMS-identifiering och distribution för den här säkerhetsuppdateringen.
| Programvara | SMS 2.0 | SMS 2003 med SUIT | SMS 2003 med ITMU | Configuration Manager 2007 |
|---|---|---|---|---|
| Windows Vista och Windows Vista Service Pack 1 | Nej | Nej | Ja* | Ja |
| Windows Vista x64 Edition och Windows Vista x64 Edition Service Pack 1 | Nej | Nej | Ja* | Ja |
| Windows Server 2008 för 32-bitarssystem | Nej | Nej | Ja* | Ja |
| Windows Server 2008 för x64-baserade system | Nej | Nej | Ja* | Ja |
| Windows Server 2008 för Itanium-baserade system | Nej | Nej | Ja* | Ja |
För SMS 2.0 och SMS 2003 kan SECURITY Update Inventory Tool (SUIT) användas av SMS för att identifiera säkerhetsuppdateringar. Se även Nedladdningar för System Management Server 2.0.
För SMS 2003 kan SMS 2003 Inventory Tool for Microsoft Updates (ITMU) användas av SMS för att identifiera säkerhetsuppdateringar som erbjuds av Microsoft Update och som stöds av Windows Server Update Services. Mer information om SMS 2003 ITMU finns i INVENTERINGsverktyg för SMS 2003 för Microsoft-uppdateringar. Mer information om VERKTYG för SMS-genomsökning finns i SMS 2003 Software Update Scanning Tools. Se även Nedladdningar för System Management Server 2003.
System Center Configuration Manager 2007 använder WSUS 3.0 för identifiering av uppdateringar. Mer information om Configuration Manager 2007 Software Update Management finns i System Center Configuration Manager 2007.
* Obs! För Windows Vista och Windows Server 2008 Microsoft Systems Management Server 2003 med Service Pack 3 finns stöd för hanterbarhet för Windows Vista och Windows Server 2008.
Mer information om SMS finns på SMS-webbplatsen.
Mer detaljerad information finns i Artikeln om Microsoft Knowledge Base 910723, "Sammanfattningslista över månatliga vägledningsartiklar för identifiering och distribution".
Uppdatera kompatibilitetsutvärderingsverktyget och programkompatibilitetsverktyget
Uppdateringar skrivs ofta till samma filer och registerinställningar som krävs för att dina program ska kunna köras. Detta kan utlösa inkompatibiliteter och öka den tid det tar att distribuera säkerhetsuppdateringar. Du kan effektivisera testning och validering av Windows-uppdateringar mot installerade program med komponenterna Update Compatibility Evaluator som ingår i Application Compatibility Toolkit.
ACT (Application Compatibility Toolkit) innehåller de verktyg och dokumentation som krävs för att utvärdera och minimera problem med programkompatibilitet innan du distribuerar Microsoft Windows Vista, en Windows Update, en Microsoft Security Update eller en ny version av Windows Internet Explorer i din miljö.
Distribution av säkerhetsuppdatering
Programvara som påverkas
Om du vill ha information om den specifika säkerhetsuppdateringen för din berörda programvara klickar du på lämplig länk:
Windows Vista (alla utgåvor)
Referenstabell
Följande tabell innehåller information om säkerhetsuppdateringar för den här programvaran. Du hittar ytterligare information i underavsnittet Distributionsinformation i det här avsnittet.
| Inkludering i framtida Service Packs | Uppdateringen för det här problemet inkluderas i ett framtida servicepaket eller en samlad uppdatering |
|---|---|
| Distribution | |
| Installera utan användarintervention | För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 i Windows Vista:\ Windows6.0-KB972591-x86 /quiet |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 i Windows Vista:\ Windows6.0-KB972592-x86 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Vista Service Pack 1:\ Windows6.0-KB972593-x86 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Vista Service Pack 1:\ Windows6.0-KB972594-x86 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Vista x64 Edition:\ Windows6.0-KB972591-x64 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 i Windows Vista x64 Edition:\ Windows6.0-KB972592-x64 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Vista x64 Edition Service Pack 1:\ Windows6.0-KB972593-x64 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Vista x64 Edition Service Pack 1:\ Windows6.0-KB972594-x64 /quiet | |
| Installera utan att starta om | För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 i Windows Vista:\ Windows6.0-KB972591-x86 /quiet /norestart |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 i Windows Vista:\ Windows6.0-KB972592-x86 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Vista Service Pack 1:\ Windows6.0-KB972593-x86 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Vista Service Pack 1:\ Windows6.0-KB972594-x86 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Vista x64 Edition:\ Windows6.0-KB972591-x64 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Vista x64 Edition:\ Windows6.0-KB972592-x64 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Vista x64 Edition Service Pack 1:\ Windows6.0-KB972593-x64 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Vista x64 Edition Service Pack 1:\ Windows6.0-KB972594-x64 /quiet /norestart | |
| Mer information | Se underavsnittet, identifierings- och distributionsverktygen och vägledningen |
| Omstartskrav | |
| Behöver du starta om? | Den här uppdateringen kräver ingen omstart. Installationsprogrammet stoppar de nödvändiga tjänsterna, tillämpar uppdateringen och startar sedan om tjänsterna. Men om de nödvändiga tjänsterna inte kan stoppas av någon anledning, eller om nödvändiga filer används, kräver den här uppdateringen en omstart. Om det här beteendet inträffar visas ett meddelande som råder dig att starta om. |
| HotPatching | Ej tillämpbart. |
| Borttagningsinformation | WUSA.exe stöder inte avinstallation av uppdateringar. Om du vill avinstallera en uppdatering som installerats av WUSA klickar du på Kontrollpanelen och sedan på Säkerhet. Under Windows Update klickar du på Visa installerade uppdateringar och väljer i listan med uppdateringar. |
| Filinformation | Se microsofts kunskapsbasartikel 970957 |
| Verifiering av registernyckel | Observera Att det inte finns någon registernyckel för att verifiera förekomsten av den här uppdateringen. |
Distributionsinformation
Installera uppdateringen
När du installerar den här säkerhetsuppdateringen kontrollerar installationsprogrammet om en eller flera av filerna som uppdateras i systemet tidigare har uppdaterats av en Microsoft-snabbkorrigering.
Mer information om terminologin som visas i den här bulletinen, till exempel snabbkorrigeringar, finns i Microsoft Knowledge Base-artikeln 824684.
Den här säkerhetsuppdateringen stöder följande installationsväxlar.
| Växling | beskrivning |
|---|---|
| /?, /h, /help | Visar hjälp om växlar som stöds. |
| /stilla | Undertrycker visning av status eller felmeddelanden. |
| /norestart | I kombination med /quiet startas inte systemet om efter installationen även om en omstart krävs för att slutföra installationen. |
Obs! Mer information om installationsprogrammet för wusa.exe finns i Microsoft Knowledge Base-artikeln 934307.
Kontrollera att uppdateringen har tillämpats
Microsoft Baseline Security Analyzer
Om du vill kontrollera att en säkerhetsuppdatering har tillämpats på ett berört system kanske du kan använda verktyget Microsoft Baseline Security Analyzer (MBSA). Mer information finns i avsnittet Identifierings- och distributionsverktyg och vägledning tidigare i den här bulletinen.Verifiering av filversion
Eftersom det finns flera utgåvor av Microsoft Windows kan följande steg vara olika i systemet. I så fall hittar du anvisningar i produktdokumentationen.- Klicka på Start och ange sedan ett uppdateringsfilnamn i Starta sökning.
- När filen visas under Program högerklickar du på filnamnet och klickar på Egenskaper.
- Under fliken Allmänt jämför du filstorleken med de filinformationstabeller som anges i artikeln om kb-bulletinen.
- Du kan också klicka på fliken Information och jämföra information, till exempel filversion och ändringsdatum, med de filinformationstabeller som anges i artikeln kb.
- Slutligen kan du också klicka på fliken Tidigare versioner och jämföra filinformation för den tidigare versionen av filen med filinformationen för den nya eller uppdaterade versionen av filen.
Windows Server 2008 (alla utgåvor)
Referenstabell
Följande tabell innehåller information om säkerhetsuppdateringar för den här programvaran. Du hittar ytterligare information i underavsnittet Distributionsinformation i det här avsnittet.
| Inkludering i framtida Service Packs | Uppdateringen för det här problemet inkluderas i ett framtida servicepaket eller en samlad uppdatering |
|---|---|
| Distribution | |
| Installera utan användarintervention | För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Server 2008 för 32-bitarssystem:\ Windows6.0-KB972593-x86 /quiet |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Server 2008 för 32-bitarssystem:\ Windows6.0-KB972594-x86 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Server 2008 för x64-baserade system:\ Windows6.0-KB972593-x64 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Server 2008 för x64-baserade system:\ Windows6.0-KB972594-x64 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Server 2008 för Itanium-baserade system:\ Windows6.0-KB972593-ia64 /quiet | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Server 2008 för Itanium-baserade system:\ Windows6.0-KB972594-ia64 /quiet | |
| Installera utan att starta om | För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Server 2008 för 32-bitarssystem:\ Windows6.0-KB972593-x86 /quiet /norestart |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Server 2008 för 32-bitarssystem:\ Windows6.0-KB972594-x86 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Server 2008 för x64-baserade system:\ Windows6.0-KB972593-x64 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Server 2008 för x64-baserade system:\ Windows6.0-KB972594-x64 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 1 eller Microsoft .NET Framework 3.5 på Windows Server 2008 för Itanium-baserade system:\ Windows6.0-KB972593-ia64 /quiet /norestart | |
| För Microsoft .NET Framework 2.0 Service Pack 2 eller Microsoft .NET Framework 3.5 Service Pack 1 på Windows Server 2008 för Itanium-baserade system:\ Windows6.0-KB972594-ia64 /quiet /norestart | |
| Mer information | Se underavsnittet, identifierings- och distributionsverktygen och vägledningen |
| Omstartskrav | |
| Behöver du starta om? | Den här uppdateringen kräver ingen omstart. Installationsprogrammet stoppar de nödvändiga tjänsterna, tillämpar uppdateringen och startar sedan om tjänsterna. Men om de nödvändiga tjänsterna inte kan stoppas av någon anledning, eller om nödvändiga filer används, kräver den här uppdateringen en omstart. Om det här beteendet inträffar visas ett meddelande som råder dig att starta om. |
| HotPatching | Ej tillämpbart. |
| Borttagningsinformation | WUSA.exe stöder inte avinstallation av uppdateringar. Om du vill avinstallera en uppdatering som installerats av WUSA klickar du på Kontrollpanelen och sedan på Säkerhet. Under Windows Update klickar du på Visa installerade uppdateringar och väljer i listan med uppdateringar. |
| Filinformation | Se microsofts kunskapsbasartikel 970957 |
| Verifiering av registernyckel | Observera Att det inte finns någon registernyckel för att verifiera förekomsten av den här uppdateringen. |
Distributionsinformation
Installera uppdateringen
När du installerar den här säkerhetsuppdateringen kontrollerar installationsprogrammet om en eller flera av filerna som uppdateras i systemet tidigare har uppdaterats av en Microsoft-snabbkorrigering.
Mer information om terminologin som visas i den här bulletinen, till exempel snabbkorrigeringar, finns i Microsoft Knowledge Base-artikeln 824684.
Den här säkerhetsuppdateringen stöder följande installationsväxlar.
| Växling | beskrivning |
|---|---|
| /?, /h, /help | Visar hjälp om växlar som stöds. |
| /stilla | Undertrycker visning av status eller felmeddelanden. |
| /norestart | I kombination med /quiet startas inte systemet om efter installationen även om en omstart krävs för att slutföra installationen. |
Obs! Mer information om installationsprogrammet för wusa.exe finns i Microsoft Knowledge Base-artikeln 934307.
Kontrollera att uppdateringen har tillämpats
Microsoft Baseline Security Analyzer
Om du vill kontrollera att en säkerhetsuppdatering har tillämpats på ett berört system kanske du kan använda verktyget Microsoft Baseline Security Analyzer (MBSA). Mer information finns i avsnittet Identifierings- och distributionsverktyg och vägledning tidigare i den här bulletinen.Verifiering av filversion
Eftersom det finns flera utgåvor av Microsoft Windows kan följande steg vara olika i systemet. I så fall hittar du anvisningar i produktdokumentationen.- Klicka på Start och ange sedan ett uppdateringsfilnamn i Starta sökning.
- När filen visas under Program högerklickar du på filnamnet och klickar på Egenskaper.
- Under fliken Allmänt jämför du filstorleken med de filinformationstabeller som anges i artikeln om kb-bulletinen.
- Du kan också klicka på fliken Information och jämföra information, till exempel filversion och ändringsdatum, med de filinformationstabeller som anges i artikeln kb.
- Slutligen kan du också klicka på fliken Tidigare versioner och jämföra filinformation för den tidigare versionen av filen med filinformationen för den nya eller uppdaterade versionen av filen.
Övrig information
Tack
Microsoft tackar följande för att du samarbetar med oss för att skydda kunder:
- Alexander Pfandt från Digitaria för rapportering av remote unauthenticated Denial of Service i ASP.NET Vulnerability (CVE-2009-1536)
Microsoft Active Protections Program (MAPP)
För att förbättra säkerhetsskyddet för kunder tillhandahåller Microsoft sårbarhetsinformation till stora leverantörer av säkerhetsprogram före varje månatlig version av säkerhetsuppdateringen. Säkerhetsprogramleverantörer kan sedan använda den här sårbarhetsinformationen för att ge kunderna uppdaterat skydd via deras säkerhetsprogram eller enheter, till exempel antivirusprogram, nätverksbaserade intrångsidentifieringssystem eller värdbaserade intrångsskyddssystem. Om du vill ta reda på om aktiva skydd är tillgängliga från leverantörer av säkerhetsprogramvara kan du besöka de aktiva skyddswebbplatser som tillhandahålls av programpartners, som anges i Mapp-partner (Microsoft Active Protections Program).
Support
- Kunder i USA och Kanada kan få teknisk support från Säkerhetssupport eller 1-866-PCSAFETY. Det kostar inget för supportsamtal som är associerade med säkerhetsuppdateringar. Mer information om tillgängliga supportalternativ finns i Microsofts hjälp och support.
- Internationella kunder kan få support från sina lokala Microsoft-dotterbolag. Det kostar ingenting för support som är associerad med säkerhetsuppdateringar. Mer information om hur du kontaktar Microsoft för supportproblem finns på webbplatsen för internationell support.
Friskrivning
Informationen som tillhandahålls i Microsoft Knowledge Base tillhandahålls "som den är" utan garanti av något slag. Microsoft frånsäger sig alla garantier, antingen uttryckliga eller underförstådda, inklusive garantier för säljbarhet och lämplighet för ett visst syfte. Under inga omständigheter ska Microsoft Corporation eller dess leverantörer vara ansvariga för eventuella skador, inklusive direkta, indirekta, tillfälliga, följdskador, förlust av företagsvinster eller särskilda skador, även om Microsoft Corporation eller dess leverantörer har informerats om risken för sådana skador. Vissa stater tillåter inte undantag eller begränsning av ansvar för följdskador eller oförutsedda skador, så den föregående begränsningen kanske inte gäller.
Revideringar
- V1.0 (11 augusti 2009): Bulletin publicerad.
- V1.1 (13 augusti 2009): Förtydligas i Vanliga frågor och svar om den här säkerhetsuppdateringen att den här säkerhetsuppdateringen endast erbjuds när IIS 7.0 installeras. Information har lagts till i vanliga frågor och svar om oautentiserad överbelastning i ASP.NET sårbarhet – CVE-2009-1536 om skillnaden mellan integrerat läge och klassiskt läge i IIS 7.0. Detta är endast en informationsändring. Kunder som har installerat den här uppdateringen behöver inte installera om.
Byggd 2014-04-18T13:49:36Z-07:00