通过

安全公告

Microsoft 安全公告 MS01-019 - 严重

压缩文件夹的密码可恢复

发布时间： 2001 年 3 月 28 日 |更新时间：2003 年 6 月 23 日

版本： 1.2

最初发布： 2001 年 3 月 28 日
更新时间： 2003 年 6 月 23 日

总结

谁应该阅读此公告：
使用 Microsoft® Plus 中的压缩文件夹功能的客户！ 98 和 Windows® Me。

漏洞的影响：
可以恢复数据压缩密码。

建议：
密码保护其压缩文件夹的客户应应用修补程序并删除 c：\windows\dynazip.log。

受影响的软件：

  • Microsoft Plus! 98
  • Microsoft Windows Me

常规信息

技术详细信息

技术说明：

加！ 98 是扩展 Windows 98 和 Windows 98 Second Edition 的可选包，引入了一项名为“压缩文件夹”的数据压缩功能，该压缩功能也包含在 Windows Me 中。 为了与领先的第三方压缩工具的互操作性，它为已压缩的文件夹提供密码保护选项。 但是，由于包的实现存在缺陷，用于保护文件夹的密码记录在用户系统上的文件中。 如果攻击者获得了对存储受密码保护文件夹的受影响计算机的访问权限，她可以了解密码并访问文件。

请务必了解，尽管此缺陷确实构成安全漏洞，但密码保护功能并不旨在提供强大的安全性。 它包含在产品中，以在其他第三方数据压缩产品中实现与密码保护功能的互操作性，并且仅用于提供防止临时检查的保护。 需要对文件进行强保护的客户应使用 Windows® 2000。

修补程序将阻止将来将密码写入用户系统。 但是，如常见问题解答中所述，应用修补程序后，还必须删除 c：\windows\dynazip.log，以确保删除所有以前记录的密码。

缓解因素：

  • 此处出现问题的密码机制与网络身份验证机制没有任何关系。 它仅用于密码保护压缩文件夹。
  • 攻击者需要物理访问受影响的系统才能恢复密码，或者计算机所有者需要故意共享 c：\windows 文件夹。

漏洞标识符：CAN-2001-0152

测试的版本：

Microsoft 测试了 Windows Me 和 Plus！ 98 评估它们是否受这些漏洞的影响。 在这些产品之前，数据压缩功能不存在。

常见问题解答

漏洞的范围是什么？
Windows Me 和 Plus！ 98（适用于 Windows 98 和 Windows 98 Second Edition 的附加包）提供了一项可选功能，可在压缩文件夹后用于密码保护文件夹。 此漏洞可能会泄露用于保护这些文件夹的密码。 如果攻击者有权访问受影响计算机上的受密码保护的文件夹，她可以使用漏洞读取或更改这些文件夹。 尽管密码在系统上显然不可用，但必须保持此问题的视角。 此处出现问题的密码仅涉及密码保护压缩文件 - 它们与用户的登录密码没有任何关系。 此外，密码保护功能不打算充当访问控制机制-它仅用于与第三方产品的密码机制的兼容性。 即使在应用此修补程序后，此处的密码保护功能也仅提供防止随意审查的保护。 需要强安全性（包括强访问控制）的客户应考虑使用 Windows 2000。

导致漏洞的原因是什么？
Windows Me 和 Plus！ 98 提供数据压缩功能，允许压缩文件夹受密码保护。 但是，在某些情况下，密码可以记录在用户系统上的文件中。

什么是加号！ 98?
加！ 98 是一个可选包，它为 Windows 98 和 Windows 98 Second Edition 提供附加功能。 除了在此处包括数据压缩功能之外，它还提供病毒扫描程序、磁盘清理功能、多个游戏和其他功能。

数据压缩功能是什么，密码保护如何相关？
两个加号！ 98 和 Windows Millenium 提供了一项称为“压缩文件夹”的功能，可用于压缩文件夹及其内部文件，以节省磁盘空间。 “压缩文件夹”功能使用与几个常用的第三方实用工具相同的算法。 但是，它比第三方工具更方便 - 用户可以选择是否应该通过“属性”页压缩文件夹。 此功能还允许用户密码保护压缩文件夹，这是漏洞所在。 按照设计，不应记录密码。 但是，实际上，密码将记录在用户系统上的文件中。

攻击者如何利用此漏洞？
如果攻击者有权访问计算机，她可以读取密码并访问系统上受密码保护的任何压缩文件夹。

此密码是否使攻击者能够登录到我的网络？
此处的密码仅由压缩文件夹功能使用。 它完全独立于任何其他密码，包括网络登录密码。 用户可以为此密码选择任何所需值，但在多个位置使用相同的密码是非常糟糕的做法。

此漏洞有多严重？
尽管将密码存储在系统上显然是一个安全漏洞，但请务必了解密码保护功能并非旨在提供强安全性。 它仅用于防止临时检查文件的内容。 根据设计，Windows 98 和我不提供访问控制机制，此功能不会用作一种。 需要强访问控制的客户应考虑 Windows NT® 或 Windows 2000。

如果此选项不旨在提供强安全性，为什么提供此选项？
压缩文件夹功能的主要设计目标之一是与领先的第三方压缩工具的互操作性。 为此，我们选择使用兼容的压缩和密码算法实现相同的功能集。

我尚未安装 Plus！ 98，但我使用 Windows 98。 是否受此漏洞影响？
否。 数据压缩功能不包括在 Windows 98 或 Windows 98 Second Edition 中。 仅当已安装 Plus 时，使用这些产品的客户才会受到影响！ 98 包在其系统上。

我使用 Windows 95。 是否受漏洞影响？
否。 Windows 95 中不包括压缩文件夹功能。

是加号！ 95 受漏洞影响？
否。 数据压缩功能不会作为 Windows 95 的一部分提供，也不会作为 Plus 的一部分提供！ 95.

Windows 95 用户是否可以安装 Plus！ 98?
否。 加！ 98 将仅在运行 Windows 98 或 Windows 98 的系统上安装标准版。

谁应该使用修补程序？
Microsoft 建议使用 Windows Me 或 Plus 的客户！ 98 和 谁在压缩文件夹中使用密码保护功能，请考虑应用修补程序。

修补程序的作用是什么？
该修补程序通过阻止将密码写入磁盘来消除漏洞。

应用修补程序后，是否需要执行任何其他操作？
是的。 应用修补程序将阻止将来的密码存储在系统上，但仍需要删除以前存储的任何密码。 为此，请使用 Windows 资源管理器删除文件 c：\windows\dynazip.log。

修补程序可用性

下载此修补程序的位置

有关此修补程序的其他信息

安装平台：

此修补程序可以安装在 Windows 98 和 Windows 98标准版 Plus！ 已安装 98。 它还可以在 Windows Me Gold 系统上安装。

包含在将来的 Service Pack 中：

尚未敲定适用于 Windows Me 的 Service Pack 计划。 但是，如果生成 Windows Me 的 Service Pack，则此问题的修补程序将包含在其中。

验证修补程序安装：

  • 加！ 98:

    验证日语/NEC 系统上zipfldr.dll的版本信息是否为 5.0.526.20，对于所有其他语言，请验证 5.0.518.20。

  • Windows Me：

    验证zipfldr.dll的版本信息是否为 5.50.4213.1600。

注意：

无

本地化：

此修补程序的本地化版本可用。 Microsoft Knoweldge Base 文章Q252694提供了指向本地化版本的链接。

获取其他安全修补程序：

可从以下位置获取其他安全问题的修补程序：

其他信息：

支持：

  • Microsoft 知识库文章Q252694讨论此问题，此公告发布后大约 24 小时可用。 可以在 Microsoft Online 支持网站上找到知识库文章。
  • Microsoft 产品支持服务提供技术支持。 与安全修补程序关联的支持调用不收取任何费用。

安全资源：Microsoft TechNet 安全网站提供有关 Microsoft 产品安全性的其他信息。

免责声明：

Microsoft 知识库中提供的信息“按原样”提供，不提供任何形式的担保。 Microsoft 不明确或暗示所有保证，包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下，Microsoft Corporation 或其供应商都应对任何损害负责，包括直接、间接、附带、后果性、业务利润损失或特殊损害，即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任，因此上述限制可能不适用。

修改：

  • V1.0（2001 年 3 月 28 日）：公告已创建。
  • V1.1（2001 年 4 月 4 日）：修改了缓解因素中的第一个项目符号，以澄清密码机制与身份验证机制分开。
  • V1.2（2003 年 6 月 23 日）：更新了Windows 更新下载链接。

构建于 2014-04-18T13：49：36Z-07：00</https：>