Aracılığıyla paylaş

Microsoft Güvenlik Bülteni MS00-094 - Kritik

'Telefon Book Hizmeti Arabellek Taşması' Güvenlik Açığı için Düzeltme Eki Kullanılabilir

Yayımlanma Tarihi: 04 Aralık 2000

Sürüm: 1.0

İlk gönderme tarihi: 04 Aralık 2000

Özet

Microsoft, Microsoft® Windows NT® 4.0 ve Windows® 2000 Sunucuları ile birlikte gelen isteğe bağlı bir hizmette güvenlik açığını ortadan kaldıran bir düzeltme eki yayımladı. Bu güvenlik açığı, kötü amaçlı bir kullanıcının hizmeti çalıştıran uzak bir sunucuda düşmanca kod yürütmesine izin verebilir.

Etkilenen Yazılım:

  • Microsoft Windows NT 4.0 Server

  • Microsoft Windows NT 4.0 Server, Enterprise Sürümü

  • Microsoft Windows 2000 Server

  • Microsoft Windows 2000 Advanced Server

    NOT: Telefon Kitap Hizmeti yalnızca IIS 4 veya IIS 5 sunucularına yüklenebilir.

Güvenlik Açığı Tanımlayıcısı:CVE-2000-1089

Genel Bilgiler

Teknik ayrıntılar

Teknik açıklama:

Telefon Book Service, NT 4 Seçenek Paketi ve Windows 2000 ile birlikte gelen isteğe bağlı bir bileşendir. Bu Hizmet, bilgisayarlara çevirmeli ağ sunucularının önceden doldurulmuş bir listesini sağlamak için Çevirmeli Ağ istemcileri ile birlikte kullanılır.

Telefon Kitap Hizmeti'nde denetlenmeyen bir arabellek nedeniyle, Telefon Book Service çalıştıran bir IIS 4 veya IIS 5 web sunucusunda rastgele kod yürütmek için belirli bir yanlış biçimlendirilmiş URL türü kullanılabilir. Bu, kötü amaçlı bir kullanıcının makinede IUSR_machinename hesabı (IIS 4) veya IWAM_machinename hesabıyla (IIS 5) uygun ayrıcalıklar kazanmasını sağlayabilir. IUSR hesabı ve IWAM hesabı Herkes grubunun üyeleridir. Bazı durumlarda, yukarıdaki hesaplar da dahil olmak üzere Herkes grubunun üyeleri web sunucusunda işletim sistemi komutlarını yürütebiliyor.

Bu güvenlik açığı kötü amaçlı kullanıcıya yönetim düzeyi ayrıcalıkları vermese de, kötü amaçlı kullanıcıya belirli verileri ekleme, değiştirme veya silme, zaten sunucuda bulunan kodu çalıştırma veya sunucuya yeni kod yükleyip çalıştırma olanağı verir.

Telefon Book Services, IIS 4 ve IIS 5 sunucularına varsayılan olarak yüklenmez. Bunun yerine, bu hizmetin NT 4 Seçenek Paketi veya Windows 2000 İsteğe Bağlı Ağ Bileşenleri aracılığıyla özel olarak yüklenmesi gerekir. Bu hizmeti yüklememiş olan müşteriler bu güvenlik açığından etkilenmez.

Sık sorulan sorular

Bu bülten neyle ilgili?
Microsoft Güvenlik Bülteni MS00-094, Microsoft® Windows NT® 4 ve Windows® 2000'in bir parçası olarak gelen isteğe bağlı bir hizmetteki güvenlik açığını ortadan kaldıran bir düzeltme ekinin kullanılabilir olduğunu duyurur. Microsoft, müşterilerin bilgilerini korumaya kararlıdır ve güvenlik açığı ve bu konuda neler yapabilecekleri konusunda müşterileri bilgilendirmek için bülteni sağlamaktadır.

Güvenlik açığının kapsamı nedir?
Bu bir arabellek taşması güvenlik açığıdır. Kötü amaçlı bir kullanıcının kendi seçtiği kodun belirli bir isteğe bağlı hizmeti çalıştıran bir web sunucusunda yürütülmesine neden olmasına neden olabilir. Bu, kötü amaçlı bir kullanıcının sunucuda etkileşimli olarak oturum açmış olan herhangi bir kodu yürütmesine olanak tanır. Bu, ona kod yükleyip çalıştırma, dosyaları veya web sayfalarını ekleme, değiştirme veya silme ya da başka eylemler gerçekleştirme olanağı verir. Bu güvenlik açığı, web sunucusunda Telefon Book Service'in varlığına bağlıdır. Web sunucularına Telefon Book Services'ı özellikle yüklememiş kullanıcılar bu güvenlik açığından etkilenmez.

Güvenlik açığının nedeni nedir?
güvenlik açığı, Telefon Defteri Hizmeti'nin kodun telefon rehberi güncelleştirme isteklerini işleyen bir bölümünde işaretsiz bir arabelleğe sahip olması nedeniyle ortaya çıkar. Belirli bir tür yanlış biçimlendirilmiş istekle sağlanırsa, arabelleğin taşması mümkün olabilir.

Telefon Kitap Hizmeti nedir?
Telefon Kitap Hizmeti, uzak kullanıcıların arayarak bağlanılan telefon numaralarının güncel bir listesini almalarını sağlar. Nasıl kullanılacağını anlamak için tipik bir senaryo ele alalım. BigCorp'un çalışanlarının evden veya seyahat ederken ağ üzerinden arama yapması gerektiğini varsayalım. BT departmanı muhtemelen arayarak bağlanacakları bir RAS (Uzaktan Erişim Hizmeti) veya PPTP (Noktadan Noktaya Tünel Protokolü) sunucusu ayarlar. Ancak çalışanların doğru arayarak bağlanma numaralarını bulmanın ve ağ bağlantısını kurmanın bir yolunu bulması gerekir. BT departmanı bunu kolaylaştırmak için Bağlantı Yöneticisi dağıtabilir. Bağlantı Yöneticisi, kullanıcıların önceden programlanmış bir listeden arayarak bağlanma numarası seçmesini ve kolayca çevirmeli bağlantı kurmasını sağlayan bir uygulamadır. Sorun, Bağlantı Yöneticisi telefon numarası listesinin güncel tutulmasıdır. Telefon Kitap Hizmeti burada devreye girer. Telefon Book Hizmeti bir IIS sunucusunda çalışır ve çevirmeli numaralar hakkında bilgi sağlar. Genellikle, her arayarak bağlanma bağlantısı sırasında Bağlantı Yöneticisi arka planda çağrılır; ancak, normal bir HTTP isteği kullanılarak doğrudan bir kullanıcı tarafından da çağrılabilir.

Telefon Kitap Sunucusu'nun nesi var?
Telefon Kitap Hizmeti, istekleri işleyen kodun bir bölümünde işaretsiz bir arabelleğe sahiptir. Kötü amaçlı bir kullanıcı bir telefon rehberi güncelleştirmesi için özel olarak yanlış biçimlendirilmiş bir HTTP isteği gönderirse, Telefon Kitap Hizmeti'nin kilitlenmesine veya seçtiği kodun sunucuda yürütülmesine neden olabilir.

Bu, kötü amaçlı kullanıcının ne yapmasını sağlar?
Kötü amaçlı bir kullanıcı, etkilenen bir sunucuya hatalı biçimlendirilmiş bir HTTP isteği göndererek iki etkiden ikisine de neden olabilir:

  • Arabelleği rastgele verilerle devrediyorsa, etkilenen makinedeki Telefon Kitap Hizmeti'nin başarısız olmasına neden olabilir.
  • Arabellek üzerinde özel olarak seçilen verilerle geçiş yaparsa, seçtiği kodun sunucuda çalışmasına neden olabilir.

Bu güvenlik açığı, Telefon Defteri Hizmeti'nin başarısız olmasına neden olmak için kullanıldıysa, hizmeti yeniden kullanıma almak için ne gerekir?
operatörün hizmeti yeniden başlatması gerekir. Sunucuyu yeniden başlatmak gerekli olmayacaktır.

Kodun çalıştırılmasına neden olmak için güvenlik açığından yararlanıldıysa, kod ne yapabilir?
Iis sunucusunun tam olarak nasıl yapılandırıldığına bağlı olacaktır. Varsayılan olarak, Telefon Book Server IUSR_machinename hesabının güvenlik bağlamında IIS 4.0 üzerinde çalışır; IIS 5.0'da varsayılan olarak IWAM_machinename hesabı bağlamında çalışır.

Bu, kodun ne gerçekleştirmesine izin verir?
ne IUSR_machinename ne de IWAM_machinename yüksek ayrıcalıklı hesaplar değildir. Aslında bunlar, bir web sunucusuna anonim bağlantıların yapıldığı hesaplardır. Bu hesaplar altında kod çalıştırma becerisi elde etmek, kötü amaçlı kullanıcıya sunucu üzerinde yönetim denetimi sağlamaz. Ancak, her iki hesap da Herkes grubunun üyesidir ve bu sayede sistemde veri ekleyebilir, değiştirebilir veya silebilir, makinede zaten bulunan programları çalıştırabilir veya yeni yazılımları bu gruba yükleyip çalıştırabilir.

Etkilenen makineler genellikle İnternet'e bağlı mı?
Telefon Kitap Hizmeti bir IIS sunucusuna yüklenmelidir. Bu IIS sunucusuna İnternet üzerinden erişilebilir ancak en iyi yöntemler, Telefon Kitap Hizmeti'nin yalnızca uzak kullanıcının bağlandığı RAS veya PPTP sunucusu üzerinden erişilebilen bir IIS sunucusuna yüklenmesini önerir.

Telefon Book Server varsayılan olarak yüklü mü?
Hayır Yönetici tarafından yüklenmesi gerekir. IIS 4.0 sistemlerinde, NT 4 Seçenek Paketi ile birlikte gelen Microsoft RAS için İnternet Bağlan ion Hizmetleri'nin bir parçası olarak yüklenebilir. IIS 5.0 sistemlerinde, Program Ekle/Kaldır uygulaması aracılığıyla İsteğe Bağlı Ağ Bileşenlerinin bir parçası olarak yüklenebilir. Unutulmaması gereken önemli nokta, Telefon Book Server'ın yalnızca IIS sunucularında çalıştırılmasına rağmen, bunu yalnızca özel olarak yüklenmişse yaptığıdır. Telefon Kitap Sunucusu bir makineye yüklenmemişse, bu sorundan etkilenmez.

Düzeltme ekini kimler kullanmalıdır?
Microsoft, IIS sunucularına Telefon Kitap Hizmeti'ni yükleyen kullanıcıların düzeltme ekini yüklemeyi düşünmelerini önerir.

Düzeltme eki ne işe yaramaktadır?
Microsoft, IIS sunucularına Telefon Kitap Hizmeti'ni yükleyen kullanıcıların düzeltme ekini yüklemeyi düşünmelerini önerir.

Düzeltme ekini nereden alabilirim?
Düzeltme ekinin indirme konumu, güvenlik bülteninin "Düzeltme Eki Kullanılabilirliği" bölümünde sağlanır.

Düzeltme ekini Nasıl yaparım? kullanıyorsunuz?
Bilgi Bankası makalesi, düzeltme ekini sitenize uygulamak için ayrıntılı yönergeler içerir.

Düzeltme ekini doğru yükleyip yüklemediğim nasıl anlanabilir?
Bilgi Bankası makalesi Q276575 düzeltme eki paketindeki dosyaların bildirimini sağlar. Düzeltme ekini doğru yüklediğinizi doğrulamanın en kolay yolu, bu dosyaların bilgisayarınızda bulunduğunu ve KB makalesinde gösterildiği gibi aynı boyutlara ve oluşturma tarihlerine sahip olduğunu doğrulamaktır.

Microsoft bu sorun hakkında ne yapıyor?

  • Microsoft, güvenlik açığını ortadan kaldıran bir düzeltme eki sundu.
  • Microsoft, müşterilere güvenlik açığı ve bu güvenlik açığını ortadan kaldırma yordamı hakkında ayrıntılı bilgi sağlamak için bir güvenlik bülteni ve bu SSS'yi sağlamıştır.
  • Microsoft, tüm abonelere güvenlik bülteninin kopyalarını, müşterilerin Microsoft güvenlik bültenleriyle güncel kalmak için kullanabilecekleri ücretsiz bir e-posta hizmeti olan Microsoft Ürün Güvenliği Bildirim Hizmeti'ne göndermiştir.
  • Microsoft, güvenlik açığını ve yordamı daha ayrıntılı olarak açıklayan bir Bilgi Bankası makalesi yayınladı.

Güvenlikle ilgili en iyi yöntemler hakkında nereden daha fazla bilgi edinebilirim?
Microsoft TechNet Security web sitesi, Microsoft güvenliği hakkında bilgi almak için en iyi yerdir.

Bu sorunla ilgili teknik destek almak Nasıl yaparım??
Microsoft Ürün Destek Hizmetleribu veya başka bir ürün desteği sorunuyla ilgili yardım sağlayabilir.

Düzeltme eki kullanılabilirliği

Bu düzeltme eki için indirme konumları

Bu düzeltme eki hakkında ek bilgiler

Yükleme platformları: Bu sorunla ilgili daha fazla bilgi için lütfen aşağıdaki başvurulara bakın.

  • Microsoft Bilgi Bankası (KB) makalesi Q276575,

    https:

Diğer bilgiler:

Teşekkür

Microsoft, bu sorunu bize bildirip müşterilerimizi korumak için bizimle birlikte çalıştığı için CORE-SDI (www.core-sdi.com) ve @Stake (www.stake.com) için teşekkürederiz.

Destek: Bu tam olarak desteklenen bir yamadır. Microsoft Ürün Destek Hizmetleri ile iletişime geçmeyle ilgili bilgilere /https:https:> adresinden <ulaşabilirsiniz.

Güvenlik Kaynakları:Microsoft TechNet Güvenlik Web Sitesi, Microsoft ürünlerinde güvenlik hakkında ek bilgiler sağlar.

Bildirim:

Microsoft Bilgi Bankası'nda sağlanan bilgiler herhangi bir garanti olmadan "olduğu gibi" sağlanır. Microsoft, satılabilirlik ve belirli bir amaca uygunluk garantileri dahil olmak üzere açık veya zımni tüm garantileri reddeder. Microsoft Corporation veya tedarikçilerine bu tür zararlar olabileceği bildirilmiş olsa bile, doğrudan, dolaylı, arızi, neticede iş kârı kaybı veya özel zararlar dahil olmak üzere hiçbir durumda Microsoft Corporation veya tedarikçileri herhangi bir zarardan sorumlu tutulamaz. Bazı eyaletler, ortaya çıkabilecek veya arızi zararlar için sorumluluğun hariç tutulmasına veya sınırlandırılmasına izin vermez, bu nedenle söz konusu sınırlama geçerli olmayabilir.

Düzeltme:

  • 4 Aralık 2000: Bülten Oluşturuldu.

2014-04-18T13:49:36Z-07:00</https adresinde derlenir:>