通过

安全公告

Microsoft 安全公告 MS01-014 - 严重

格式不正确的 URL 可能会导致 IIS 5.0 和 Exchange 2000 中的服务失败

发布时间： 2001 年 3 月 1 日 |更新时间：2003 年 6 月 23 日

版本： 1.2

最初发布： 2001 年 3 月 1 日
更新时间： 2003 年 6 月 23 日

总结

谁应该阅读此公告：
使用 Microsoft® IIS 5.0 或 Exchange 2000 的系统管理员。

漏洞的影响：
拒绝服务

建议：
系统管理员应将修补程序应用到运行受影响产品的服务器。

受影响的软件：

  • Microsoft Internet Information Services 5.0
  • Microsoft Exchange 2000

常规信息

技术详细信息

技术说明：

IIS 5.0 包含一个缺陷，它会影响 URL 的处理方式（如果 URL 具有特定的构造且其长度在非常窄的值范围内）。 如果此类 URL 重复发送到受影响的系统，则事件串联可能会导致内存分配错误，从而导致 IIS 服务失败。

Exchange 2000 受到同一漏洞的影响。 为了支持基于 Web 的邮件客户端，它引入了通过 URL 解决商店中的项目的能力。 这是通过使用 IIS 5.0 完成的，部分是通过特定于 Exchange 2000 的代码完成的。 这两段代码都包含缺陷，但通过任一漏洞利用漏洞的效果是相同的-它可用于导致 IIS 服务失败，但不能用于攻击 Exchange 服务本身。 也就是说，通过此漏洞成功攻击 Exchange 服务器会中断基于 Web 的邮件客户端对服务器的使用，而不是基于 MAPI 的邮件客户端（如 Outlook）。

由于缺陷发生在两个不同的代码模块中，其中一个模块作为 IIS 5.0 的一部分进行安装，并且两者都作为 Exchange 2000 的一部分进行安装，因此 Exchange 2000 管理员必须同时安装以下 IIS 和 Exchange 修补程序。

缓解因素：

  • 该漏洞不会使攻击者能够获取对服务器的任何管理控制，也不会更改其上的任何数据。
  • 受影响的服务会在发生故障时自动重启，因此受影响的系统几乎会立即恢复服务。
  • 对 Exchange 服务器的成功攻击只会中断基于 Web 的邮件客户端对服务器的使用。 服务器将继续适用于基于 MAPI 的客户端（如 Outlook）。
  • 此漏洞中涉及的 ISAPI 在为请求提供服务之前对用户进行身份验证，因此正确配置的 Exchange 服务器的风险将低于 IIS 服务器。

漏洞标识符：CAN-2001-0146

常见问题解答

漏洞的范围是什么？
这是 拒绝服务 漏洞。 它可以让攻击者暂时中断受影响 Web 上的服务，或暂时中断对受影响邮件服务器的基于 Web 的访问。 尽管任一情况下的服务器都会自动恢复正常操作，但攻击时正在进行的任何会话都将丢失。 该漏洞不会为攻击者获取对服务器的管理控制，或者添加、更改或删除其上的数据提供了任何机会。

导致漏洞的原因是什么？
由于 Internet Information Services （IIS） 5.0 和 Exchange 2000 无法正确处理具有特定构造的 URL，并且长度在非常窄的值范围内。 如果任一产品收到此类 URL 的次数足够多，IIS 服务将失败。

我认为 URL 仅用于 Web 浏览。 为什么 Exchange 受到此漏洞的影响？
Exchange 2000 支持使用基于 Web 的邮件客户端，因此，它能够接受和处理 URL。 事实上，可以通过 URL 发出对 Exchange 服务器的所有请求。 尽管 Exchange 中处理 URL 的代码与 IIS 代码分开，但两者都有相同的缺陷。

此处的 URL 有什么问题？
URL 本身没有问题。 尽管出于合法目的而不太可能发送它，但 IIS 和 Exchange 都应能够处理 URL 并对其进行适当处理。 相反，缺陷会导致内存分配错误，如果出现足够的时间，将导致访问冲突。 这将导致计算机上的 IIS 服务失败。

你不是说它会导致 IIS 或 Exchange 服务失败，具体取决于服务器类型？
否。 在这两种情况下，效果都是导致 IIS 服务失败。 无法通过此漏洞使 Exchange 服务失败。

通过此漏洞成功攻击有何影响？
这取决于攻击是针对 Web 服务器还是邮件服务器。 无论哪种情况，都会导致 IIS 5.0 服务失败。 在 Web 服务器上，这会阻止服务器提供 Web 服务。 在邮件服务器上，它只会阻止基于 Web 的邮件客户端使用系统;邮件客户端（如 Outlook）不会通过 Web 操作，不会在其邮件服务中看到任何中断。

发送 URL 一次会导致服务失败吗？
否。 攻击者不仅需要选取具有正确构造和长度的 URL，还需要反复发送它才能利用漏洞。

中断持续多久？
在正常情况下，攻击只能导致服务中断。 默认情况下，IIS 5.0 服务配置为在发生故障时自动重启自身，因此几乎会立即恢复正常操作。

漏洞是否可以用于接管服务器？
否。 这绝对是拒绝服务漏洞。 它不能用于获取对 Web 或邮件服务器的任何管理控制，也不能更改其上的任何数据。 它只能用于防止服务器提供服务。

漏洞可能被意外利用吗？
否。 具有特定构造和长度的 URL 不太可能意外发送。

此漏洞是否会给 IIS 或 Exchange 服务器带来更大的风险？
如果遵循了最佳做法，则 Exchange 服务器的风险会降低。 由于受影响的组件的设计方式，只有经过身份验证的用户才能在正常情况下将请求发送到 Exchange 服务器。 这意味着 Internet 用户无法攻击受影响的 Exchange 服务器。 相比之下，Web 服务器通常接受来自任何用户的请求。

此漏洞是否会影响早期版本的 IIS 或 Exchange？
否。 只有 IIS 5.0 和 Exchange 2000 受到影响。

修补程序的作用是什么？
修补程序通过导致 URL 得到适当处理来消除漏洞。 在大多数情况下，此类 URL 无效，修补程序会导致 IIS 5.0 和 Exchange 2000 以这种方式处理。

为什么 Exchange 和 IIS 修补程序都需要应用于 Exchange 2000 服务器？
尽管 IIS 5.0 和 Exchange 2000 包含相同的编码缺陷，但它位于两个不同的组件中。 其中一个组件是 IIS 5.0 的一部分，另一个组件是 Exchange 2000 的一部分。 但是，IIS 作为 Exchange 2000 的一部分安装，因此 Exchange 2000 服务器需要 IIS 5.0 和 Exchange 2000 修补程序。

修补程序可用性

下载此修补程序的位置

有关此修补程序的其他信息

安装平台：

  • IIS 5.0 修补程序可以安装在运行 Windows 2000 Gold 和 Service Pack 1 的系统上。
  • 可以在运行 Exchange 2000 Gold 的系统上安装 Exchange 2000 修补程序。

包含在将来的 Service Pack 中：

  • Windows 2000 Service Pack 2 中将包含 IIS 5.0 问题的修补程序。
  • Exchange 2000 问题修补程序将包含在 Exchange 2000 Service Pack 1 中。

验证修补程序安装：

IIS 5.0：

  • 若要验证是否已在计算机上安装修补程序，请确认计算机上已创建以下注册表项：

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows 2000\SP2\Q286818。

  • 若要验证修补程序中的单个文件，请使用以下注册表项中提供的日期/时间和版本信息：

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows 2000\SP2\Q286818\Filelist。

Exchange 2000：

  • 若要验证是否已在计算机上安装修补程序，请确认计算机上已创建以下两个注册表项：
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows 2000\SP2\Q286818
    • HKLM\SOFTWARE\Microsoft\汇报\Exchange Server 2000 Service Pack 1\Q287678。
  • 若要验证修补程序中的单个文件，请使用以下注册表项中提供的日期/时间和版本信息：
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows 2000\SP2\Q286818\Filelist
    • HKLM\SOFTWARE\Microsoft\汇报\Exchange Server 2000 Service Pack 1\Q287678\Filelist。

注意：

Exchange 2000 系统需要 IIS 5.0 和 Exchange 2000 修补程序。

本地化：

此修补程序的本地化版本正在开发中。 完成后，它们将出现在“获取其他安全修补程序”中讨论的位置。

获取其他安全修补程序：

可从以下位置获取其他安全问题的修补程序：

其他信息：

确认

Microsoft 感谢 eSecurityOnline.com 的 Kevin Kotas 向我们报告此问题，并与我们合作保护客户。

支持：

  • Microsoft 知识库文章Q286818和Q287678讨论此问题，将在发布本公告大约 24 小时后提供。 可以在 Microsoft Online 支持网站上找到知识库文章。
  • Microsoft 产品支持服务提供技术支持。 与安全修补程序关联的支持调用不收取任何费用。

安全资源：Microsoft TechNet 安全网站提供有关 Microsoft 产品安全性的其他信息。

免责声明：

Microsoft 知识库中提供的信息“按原样”提供，不提供任何形式的担保。 Microsoft 不明确或暗示所有保证，包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下，Microsoft Corporation 或其供应商都应对任何损害负责，包括直接、间接、附带、后果性、业务利润损失或特殊损害，即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任，因此上述限制可能不适用。

修改：

  • V1.0（2001 年 3 月 1 日）：公告已创建。
  • V1.1（2001 年 6 月 13 日）：已修订公告，指出 IIS 5.0 修补程序适用于 Windows 2000 黄金版和 Service Pack 1，并且已包含在 Windows 2000 Service Pack 2 中。
  • V1.2（2003 年 6 月 23 日）：更新了Windows 更新下载链接。

生成于 2014-04-18T13：49：36Z-07：00