Microsoft 安全公告 MS10

安全公告

发布时间：2010 年 6 月 8 日 |更新时间：2010 年 6 月 30 日

版本： 1.1

此安全更新可解决 Internet Information Services (IIS) 中私下报告的漏洞。 如果用户收到特制的 HTTP 请求，该漏洞可能允许远程执行代码。 成功利用此漏洞的攻击者可以完全控制受影响的系统。

对于 IIS 6.0、IIS 7.0 和 IIS 7.5，此安全更新的评级为“重要”。 有关详细信息，请参阅本部分中 的“受影响和不受影响的软件”小节。

安全更新通过更正身份验证验证来解决漏洞。 有关漏洞的详细信息，请参阅常见问题 (常见问题解答) 部分，了解下一部分漏洞 信息下的特定漏洞条目。

建议。 大多数客户已启用自动更新，无需采取任何操作，因为会自动下载并安装此安全更新。 未启用自动更新的客户需要检查更新并手动安装此更新。 有关自动更新中特定配置选项的信息，请参阅 Microsoft 知识库文章294871。

对于管理员和企业安装，或希望手动安装此安全更新的最终用户，Microsoft 建议客户尽早使用更新管理软件应用更新，或使用 Microsoft 更新 服务检查更新。

另请参阅本公告后面的 检测和部署工具和指南部分。

已知问题。Microsoft 知识库文章982666 介绍了客户在安装此安全更新时可能遇到的当前已知问题。 本文还记录了针对这些问题的建议解决方案。

以下软件已经过测试，以确定受影响的一个或多个版本。 其他版本已超过其支持生命周期或不受影响。 若要确定软件版本或版本的支持生命周期，请访问Microsoft 支持部门生命周期。

受影响的软件

*服务器核心安装受到影响。 无论是否使用服务器核心安装选项进行安装，此更新都以相同的严重性级别适用于受支持的 Windows Server 2008 或 Windows Server 2008 R2 版本。 有关此安装选项的详细信息，请参阅 MSDN 文章、 适用于Windows Server 2008 R2 的服务器核心和服务器核心。 请注意，服务器核心安装选项不适用于某些版本的 Windows Server 2008 和 Windows Server 2008 R2;请参阅 比较服务器核心安装选项。

[1]仅当已安装用于身份验证的扩展保护时，此操作系统才会受到影响。 请参阅 Microsoft 知识库文章973917。 有关详细信息，请参阅常见问题 (与此安全更新相关的常见问题解答) 中的条目。

不受影响的软件

哪些系统受此漏洞的影响？ 此漏洞影响 Windows 7 和 Windows Server 2008 R2 系统。 此外，它还会影响已安装 KB973917 的 Windows Server 2003、Windows Vista 和 Windows Server 2008 系统， KB973917 是实现身份验证扩展保护的非安全更新。

如果我尚未安装 KB973917，我的计算机是否易受攻击？ 运行未安装 KB973917 的受支持版本的 Windows Server 2003、Windows Vista 和 Windows Server 2008 的系统不会受到攻击。 运行受支持的 Windows 7 和 Windows Server 2008 R2 版本的系统易受攻击。

如果未安装 KB973917，是否会向我提供此安全更新？ 不会向未安装 KB973917 中的更新的系统提供此更新，因为它们不受此安全漏洞的影响。

文件信息详细信息在哪里？ 有关文件信息详细信息的位置，请参阅 安全更新部署 部分中的引用表。

我使用的是此安全公告中讨论的较旧版本的软件。 应采取何种操作？ 此公告中列出的受影响的软件已经过测试，以确定受影响的版本。 其他版本已超过其支持生命周期。 有关产品生命周期的详细信息，请访问 Microsoft 支持部门 生命周期网站。

对于具有较旧版本的软件的客户来说，应优先迁移到受支持的版本，以防止潜在的漏洞暴露。 若要确定软件版本的支持生命周期，请参阅 选择生命周期信息的产品。 有关这些软件版本的 Service Pack 的详细信息，请参阅 生命周期支持的 Service Pack。

需要旧版软件自定义支持的客户必须与 Microsoft 客户团队代表、技术客户经理或相应的 Microsoft 合作伙伴代表联系，以获取自定义支持选项。 没有联盟、顶级或授权合同的客户可以联系其当地的 Microsoft 销售办公室。 有关联系人信息，请访问 Microsoft 全球信息 网站，在“联系信息”列表中选择国家/地区，然后单击“ 转到 ”以查看电话号码列表。 当你打电话时，请要求与当地的顶级支持销售经理交谈。 有关详细信息，请参阅 Microsoft 支持部门 生命周期策略常见问题解答。

以下严重性分级假设漏洞的潜在最大影响。 有关此安全公告发布后 30 天内漏洞被利用的可能性（与其严重性评级和安全影响相关）的信息，请参阅 6 月公告摘要中的可利用性指数。 有关详细信息，请参阅 Microsoft 可利用性索引。

*服务器核心安装受到影响。 此更新的严重性级别相同，适用于受支持的 Windows Server 2008 和 Windows Server 2008 R2 版本，无论是否使用 Server Core 安装选项进行安装。 有关此安装选项的详细信息，请参阅 MSDN 文章 Server Core 和 Server Core for Windows Server 2008 R2。 请注意，服务器核心安装选项不适用于某些版本的 Windows Server 2008 和 Windows Server 2008 R2;请参阅 比较服务器核心安装选项。

Internet Information Services (IIS) 中存在远程代码执行漏洞。 该漏洞是由于身份验证信息分析不当造成的。 成功利用此漏洞的攻击者可以在工作进程标识 (WPI) 的上下文中执行代码。

若要在“常见漏洞和披露”列表中以标准条目的形式查看此漏洞，请参阅 CVE-2010-1256。

缓解是指以默认状态存在的设置、常见配置或常规最佳做法，可降低利用漏洞的严重性。 以下缓解因素可能对你的情况有所帮助：

解决方法是指设置或配置更改，该设置或配置更改不会纠正基础漏洞，但有助于在应用更新之前阻止已知的攻击途径。 Microsoft 测试了以下解决方法，并在讨论中指出解决方法是否降低了功能：

需要令牌检查

已将 Internet Information Services 配置为使用扩展保护进行“需要”令牌检查的系统（如 Microsoft 知识库文章 973917 中所述）不会公开此漏洞。

解决方法的影响。 此配置更改不允许未实现扩展保护的客户端进行身份验证。

漏洞的范围是什么？  这是一个远程代码执行漏洞。 成功利用此漏洞的经过身份验证的远程攻击者随后可以在 IIS 服务器上执行操作，其权限与辅助进程标识 (WPI) 相同。 默认情况下，此标识配置为 Windows Server 2003、Windows Vista 和 Windows Server 2008 上的网络服务帐户。 此标识配置为 Windows 7 和 Windows Server 2008 R2 上的虚拟应用程序池标识。

造成漏洞的原因是什么？  当 Internet Information Services Web 服务器在分析从客户端接收的特定身份验证信息时未正确分配内存时，会导致此漏洞。

受漏洞影响的组件是什么？  当 Internet Information Services Web 服务器配置为支持仅使用身份验证扩展保护的身份验证请求时，此漏洞会影响该服务器。 需要将扩展保护功能配置为非默认状态，以允许此组件的令牌检查易受攻击。

什么是针对身份验证的扩展保护？  身份验证的扩展保护有助于抵御中间人 (MITM) 攻击，在此类攻击中，攻击者截获客户端凭据并将它们转发给服务器。 扩展身份验证保护部署为非安全更新，管理员和用户需要安装这些更新才能提供此附加保护。

扩展保护可用作 Windows Server 2003、Windows Vista 和 Windows Server 2008 的非安全更新， (请参阅 Microsoft 知识库文章973917) 。 Windows 7 和 Windows Server 2008 R2 将此功能作为操作系统中的可选组件，在为 Internet Information Services (IIS) Web 服务器安装 Windows 身份验证角色服务时启用此功能。

如何实现验证是否启用了身份验证扩展保护？  有多种方法可以配置身份验证的扩展保护。 有关此功能的配置（可用于验证此功能是否存在）的信息，请参阅 Microsoft 知识库文章973917。

攻击者可能利用漏洞执行什么操作？  成功利用此漏洞的经过身份验证的远程攻击者随后可以在 IIS 服务器上执行操作，其权限与辅助进程标识 (WPI) 相同。 默认情况下，WPI 使用网络服务帐户权限进行配置。 与使用默认 WPI 设置配置应用程序池的 IIS 服务器相比，使用具有管理权限的帐户配置应用程序池的 IIS 服务器受到的影响可能更严重。

攻击者如何利用此漏洞？  在客户端上未启用身份验证扩展保护但在服务器上启用时，IIS 服务器处理身份验证尝试的方式存在远程代码执行漏洞。 攻击者可以通过创建特制的 HTTP 请求来利用此漏洞。

哪些系统主要受到漏洞的威胁？  托管需要身份验证并支持身份验证扩展保护的内容的 Web 服务器受此漏洞影响最大。 仅当系统已安装 Microsoft 知识库文章973917中所述的扩展保护更新时，系统才会受到影响。

更新的作用是什么？  此更新通过更正 IIS 验证客户端传递的特定身份验证信息的方式来解决漏洞。

发布此安全公告时，是否已公开披露此漏洞？  否。 Microsoft 通过负责任的披露收到了有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞被利用的报告？  否。 Microsoft 没有收到任何表明此漏洞已公开用于攻击客户的信息，也没有看到在最初发布此安全公告时发布的任何概念代码证明示例。

管理部署到组织中的服务器、桌面和移动系统所需的软件和安全更新。 有关详细信息，请参阅 TechNet 更新管理中心。 Microsoft TechNet 安全网站提供有关 Microsoft 产品安全性的其他信息。

安全更新可从 Microsoft 更新和Windows 更新获取。 Microsoft 下载中心也提供安全更新。 可以通过执行关键字 (keyword) 搜索“安全更新”来最轻松地找到它们。

最后，可以从 Microsoft 更新目录下载安全更新。 Microsoft 更新目录提供通过 Windows 更新 和 Microsoft 更新提供的内容的可搜索目录，包括安全更新、驱动程序和 Service Pack。 通过使用安全公告号 (（例如“MS07-036”) ）进行搜索，可以将所有适用的更新添加到购物篮 (包括更新) 的不同语言，并下载到所选文件夹。 有关 Microsoft 更新目录的详细信息，请参阅 Microsoft 更新目录常见问题解答。

注意 自 2009 年 8 月 1 日起，Microsoft 已停止对 Office 更新和 Office 更新清单工具的支持。 若要继续获取 Microsoft Office 产品的最新更新，请使用 Microsoft 更新。 有关详细信息，请参阅 关于 Microsoft Office 更新：常见问题解答。

检测和部署指南

Microsoft 提供安全更新的检测和部署指南。 本指南包含可帮助 IT 专业人员了解如何使用各种工具来检测和部署安全更新的建议和信息。 有关详细信息，请参阅 Microsoft 知识库文章961747。

Microsoft 基准安全分析器

Microsoft 基线安全分析器 (MBSA) 允许管理员扫描本地和远程系统以查找缺少的安全更新以及常见的安全配置错误。 有关 MBSA 的详细信息，请访问 Microsoft 基线安全分析器。

下表提供了此安全更新的 MBSA 检测摘要。

最新版本的 MBSA 已发布： Microsoft 基线安全分析器 2.1.1。 有关详细信息，请参阅 Microsoft 基线安全分析器 2.1。

Windows Server Update Services

通过使用 Windows Server Update Services (WSUS) ，管理员可以为 Microsoft Windows 2000 操作系统及更高版本、Office XP 及更高版本、Exchange Server 2003 和 SQL Server 2000 部署最新的关键更新和安全更新。 有关如何使用 Windows Server Update Services 部署此安全更新的详细信息，请访问 Windows Server Update Services 网站。

Systems Management Server

下表提供了此安全更新的短信检测和部署摘要。

对于 SMS 2.0 和 SMS 2003，SMS 可以使用安全更新清单工具 (SUIT) 来检测安全更新。 另请参阅 Systems Management Server 2.0 的下载。

对于 SMS 2003，SMS 2003 Inventory Tool for Microsoft 汇报 (ITMU) 可以由 SMS 来检测 Microsoft 更新提供并由 Windows Server Update Services 支持的安全更新。 有关 SMS 2003 ITMU 的详细信息，请参阅 SMS 2003 Inventory Tool for Microsoft 汇报。 有关短信扫描工具的详细信息，请参阅 SMS 2003 软件更新扫描工具。 另请参阅 Systems Management Server 2003 的下载。

System Center Configuration Manager 2007 使用 WSUS 3.0 检测更新。 有关 Configuration Manager 2007 软件更新管理的详细信息，请访问 System Center Configuration Manager 2007。

有关短信的详细信息，请访问 SMS 网站。

有关详细信息，请参阅 Microsoft 知识库文章910723：每月检测和部署指南文章的摘要列表。

更新兼容性计算器和应用程序兼容性工具包

汇报经常写入应用程序运行所需的相同文件和注册表设置。 这可能导致不兼容，并增加部署安全更新所需的时间。 可以使用应用程序兼容性工具包附带的 更新兼容性计算器 组件简化针对已安装应用程序的测试和验证 Windows 更新。

应用程序兼容性工具包 (ACT) 包含必要的工具和文档，用于在环境中部署 Microsoft Windows Vista、Windows 更新、Microsoft 安全更新或新版本的 Windows Internet Explorer 之前评估和缓解应用程序兼容性问题。

受影响的软件

有关受影响软件的特定安全更新的信息，请单击相应的链接：

引用表

下表包含此软件的安全更新信息。 可以在本部分的 “部署信息”小节中找到其他信息。

安装更新

安装此安全更新时，安装程序会检查系统上正在更新的一个或多个文件是否已由 Microsoft 修补程序更新。

如果以前安装了修补程序来更新其中一个文件，安装程序会将 RTMQFE、SP1QFE 或 SP2QFE 文件复制到系统。 否则，安装程序会将 RTMGDR、SP1GDR 或 SP2GDR 文件复制到系统。 安全更新可能不包含这些文件的所有变体。 有关此行为的详细信息，请参阅 Microsoft 知识库文章824994。

有关安装程序的详细信息，请访问 Microsoft TechNet 网站。

有关此公告中显示的术语（例如 修补程序）的详细信息，请参阅 Microsoft 知识库文章824684。

此安全更新支持以下安装开关。

注意 可以将这些开关合并到一个命令中。 为了向后兼容，安全更新还支持早期版本的安装程序使用的许多安装开关。 有关支持的安装开关的详细信息，请参阅 Microsoft 知识库文章262841。

删除更新

此安全更新支持以下安装开关。

验证是否已应用更新

Microsoft 基准安全分析器

若要验证安全更新是否已应用于受影响的系统，可以使用 Microsoft 基线安全分析器 (MBSA) 工具。 有关详细信息，请参阅本公告前面的 检测和部署工具和指南部分。

文件版本验证

由于 Microsoft Windows 有多个版本，因此系统上的以下步骤可能有所不同。 如果是，请参阅产品文档以完成这些步骤。

注册表项验证

还可以通过查看本部分中 的参考表 中列出的注册表项来验证此安全更新已安装的文件。

这些注册表项可能不包含已安装文件的完整列表。 此外，当管理员或 OEM 将此安全更新集成或滑入 Windows 安装源文件时，可能无法正确创建这些注册表项。

引用表

下表包含此软件的安全更新信息。 可以在本部分的“ 部署信息”子部分中找到其他信息。

安装更新

安装此安全更新时，安装程序会检查系统上正在更新的一个或多个文件是否以前已由 Microsoft 修补程序更新。

有关此公告中显示的术语（例如 修补程序）的详细信息，请参阅 Microsoft 知识库文章824684。

此安全更新支持以下设置开关。

注意 有关 wusa.exe 安装程序的详细信息，请参阅 Microsoft 知识库文章934307。

验证是否已应用更新

Microsoft 基准安全分析器

若要验证是否已将安全更新应用于受影响的系统，可以使用 Microsoft 基线安全分析器 (MBSA) 工具。 有关详细信息，请参阅本公告前面的 检测和部署工具和指南部分。

文件版本验证

由于 Microsoft Windows 有多个版本，因此你的系统上的以下步骤可能有所不同。 如果是，请参阅产品文档以完成这些步骤。

引用表

下表包含此软件的安全更新信息。 可以在本部分的“ 部署信息”子部分中找到其他信息。

安装更新

安装此安全更新时，安装程序会检查系统上正在更新的一个或多个文件是否以前已由 Microsoft 修补程序更新。

有关此公告中显示的术语（例如 修补程序）的详细信息，请参阅 Microsoft 知识库文章824684。

此安全更新支持以下设置开关。

注意 有关 wusa.exe 安装程序的详细信息，请参阅 Microsoft 知识库文章934307。

验证是否已应用更新

Microsoft 基准安全分析器

若要验证是否已将安全更新应用于受影响的系统，可以使用 Microsoft 基线安全分析器 (MBSA) 工具。 有关详细信息，请参阅本公告前面的 检测和部署工具和指南部分。

文件版本验证

由于 Microsoft Windows 有多个版本，因此你的系统上的以下步骤可能有所不同。 如果是，请参阅产品文档以完成这些步骤。

引用表

下表包含此软件的安全更新信息。 可以在本部分的“ 部署信息”子部分中找到其他信息。

安装更新

安装此安全更新时，安装程序会检查系统上正在更新的一个或多个文件是否以前已由 Microsoft 修补程序更新。

有关此公告中显示的术语（例如 修补程序）的详细信息，请参阅 Microsoft 知识库文章824684。

此安全更新支持以下设置开关。

注意 有关 wusa.exe 安装程序的详细信息，请参阅 Microsoft 知识库文章934307。

验证是否已应用更新

Microsoft 基准安全分析器

若要验证是否已将安全更新应用于受影响的系统，可以使用 Microsoft 基线安全分析器 (MBSA) 工具。 有关详细信息，请参阅本公告前面的 检测和部署工具和指南部分。

文件版本验证

由于 Microsoft Windows 有多个版本，因此你的系统上的以下步骤可能有所不同。 如果是，请参阅产品文档以完成这些步骤。

引用表

下表包含此软件的安全更新信息。 可以在本部分的“ 部署信息”子部分中找到其他信息。

安装更新

安装此安全更新时，安装程序会检查系统上正在更新的一个或多个文件是否以前已由 Microsoft 修补程序更新。

有关此公告中显示的术语（例如 修补程序）的详细信息，请参阅 Microsoft 知识库文章824684。

此安全更新支持以下安装开关。

注意 有关 wusa.exe 安装程序的详细信息，请参阅 Microsoft 知识库文章934307。

验证是否已应用更新

Microsoft 基准安全分析器

若要验证安全更新是否已应用于受影响的系统，可以使用 Microsoft 基线安全分析器 (MBSA) 工具。 有关详细信息，请参阅本公告前面的 检测和部署工具和指南部分。

文件版本验证

由于 Microsoft Windows 有多个版本，因此系统上的以下步骤可能有所不同。 如果是，请参阅产品文档以完成这些步骤。

为了改进客户的安全保护，Microsoft 在每个每月安全更新发布之前向主要安全软件提供商提供漏洞信息。 然后，安全软件提供商可以使用此漏洞信息通过其安全软件或设备（例如防病毒、基于网络的入侵检测系统或基于主机的入侵防护系统）为客户提供更新的保护。 若要确定安全软件提供商是否提供主动保护，请访问计划合作伙伴提供的活动保护网站，这些网站在 Microsoft Active Protections 计划 (MAPP) 合作伙伴中列出。

Microsoft 知识库中提供的信息“按原样”提供，不提供任何形式的担保。 Microsoft 否认所有明示或默示的担保，包括适销性和特定用途适用性的保证。 在任何情况下，Microsoft Corporation 或其供应商均不对任何损害负责，包括直接、间接、附带、后果性、业务利润损失或特殊损害，即使 Microsoft Corporation 或其供应商已被告知此类损害的可能性。 一些州不允许排除或限制后果性或附带损害的责任，因此上述限制可能不适用。

生成于 2014-04-18T13：49：36Z-07：00