A Microsoft számú biztonsági közleménye MS09-066 - Fontos
2009 MS09-066
Az Active Directory biztonsági rése szolgáltatásmegtagadást okozhat (973309)
A biztonsági frissítés az Active Directory címtárszolgáltatás, az Alkalmazásmódú Active Directory (ADAM) és az Active Directory Lightweight Directory-szolgáltatás (AD LDS) közvetlenül jelentett biztonsági rését szünteti meg. A biztonsági rés szolgáltatásmegtagadást okozhat, ha bizonyos típusú LDAP- vagy LDAPS-kérelmek végrehajtása során a veremtár kimerül. A biztonsági rés csak a tartományvezérlőket, illetve az ADAM vagy AD LDS futtatásához konfigurált rendszereket érinti.
A Microsoft Windows 2000 Server, a Windows XP, a Windows Server 2003 és a Windows Server 2008 rendszerek összes támogatott kiadására telepített Active Directory, ADAM és AD LDS esetén ez a biztonsági frissítés fontos besorolásúnak minősül. További tudnivalókért tekintse meg az Érintett és nem érintett szoftverek c. részt.
A biztonsági frissítés a biztonsági rés megszüntetése érdekében módosítja az Active Directory, az ADAM és az AD LDS hibás LDAP- vagy LDAPS-kérelmek feldolgozására vonatkozó kezelési eljárását. A biztonsági réssel kapcsolatban bővebben az adott problémával foglakozó gyakran feltett kérdéseket ismertető szakaszban, A biztonsági réssel kapcsolatos tudnivalók című részben olvashat.
(KB973037) Szolgáltatásmegtagadás Fontos MS09-018
Windows XP Service Pack 2 és Windows XP Service Pack 3 Alkalmazásmódú Active Directory (ADAM)
(KB973039) Szolgáltatásmegtagadás Fontos MS09-018
Windows Server 2008 32 bites rendszerekhez és Windows Server 2008 32 bites rendszerekhez, Service Pack 2* Az Active Directory és az Active Directory Lightweight Directory Service (AD LDS)
(KB973037) Szolgáltatásmegtagadás Fontos MS08-035
Windows Server 2008 x64 alapú rendszerekhez és Windows Server 2008 x64 alapú rendszerekhez, Service Pack 2* Az Active Directory és az Active Directory Lightweight Directory Service (AD LDS)
Az LSASS kötegtúlcsordulást okozó rekurzív biztonsági rése - CVE-2009-1928
A Microsoft Windows 2000 Server, a Windows Server 2003 és a Windows Server 2008 rendszereken futó Active Directory implementációiban szolgáltatásmegtagadást eredményező biztonsági rés található. A biztonsági rés a Windows XP és Windows Server 2003 rendszerekre telepített Alkalmazásmódú Active Directory (ADAM) implementációiban, valamint a Windows Server 2008 rendszerre telepített Active Directory Lightweight Directory-szolgáltatásban (AD LDS) is jelen van, és a veremtár kimerülése okozza az egyes LDAP- illetve LDAPS-kérelmek végrehajtása során. A biztonsági rést sikeresen kihasználó támadó az érintett rendszert a válaszadások megszakítására kényszerítheti.
A biztonsági rés standard bejegyzésének megtekintéséhez a normál biztonsági rés besorolási listáján lásd: CVE-2009-1928.
Az LSASS kötegtúlcsordulást okozó rekurzív biztonsági rése hibáit enyhítő tényezők - CVE-2009-1928
Lehetséges megoldások az LSASS kötegtúlcsordulást okozó rekurzív biztonsági résének elhárításához - CVE-2009-1928
A rendszer ezeket a portokat használja az érintett komponenssel való kapcsolat létrehozására. A kimenő és bejövő forgalom letiltása megakadályozza, hogy a támadók kihasználják a vállalati tűzfal mögötti rendszereken található biztonsági rést. A 389-es és 636-os port biztonságos LDAP- illetve LDAPS-szolgáltatást nyújt, a 3268-as és 3269-es portot viszont az LDAP-kérelmek feldolgozásával szintén foglalkozó globáliskatalógus-kiszolgáló használja. Az Alkalmazásmódú Active Directory (ADAM) ás az Active Directory Lightweight Directory-szolgáltatás (AD LDS) segítségével a rendszergazdák konfigurálhatják a nem alapértelmezett LDAP-portokat. A biztonsági rés kihasználását megelőzendő a megoldás alkalmazásakor ezeket a portokat le kell tiltani a tűzfalon is.
Gyakran feltett kérdések az LSASS kötegtúlcsordulást okozó rekurzív biztonsági résével kapcsolatban - CVE-2009-1928
Az LDAP-szolgáltatás helytelenül dolgozza fel a speciális LDAP- vagy LDAPS-kérelmeket, ami a veremtár kimerülését okozhatja.
Az Active Directory Lightweight Directory-szolgáltatások (AD LDS) az Active Directory független üzemmódját jelentik, amely célzott címtárszolgáltatásokat nyújt az alkalmazásokhoz. Az AD LDS Windows Server 2008 és újabb verziójú rendszerekben található meg, és a Windows XP és Windows Server 2003 rendszerekben megtalálható Alkalmazásmódú Active Directory (ADAM) alkalmazást váltja fel.
Alapértelmezetten az LDAP forgalom nem biztonságos átvitellel történik. Az LDAP-forgalom azonban titkosítható és módosítás ellen levédhető a Secure Sockets Layer (SSL)/Transport Layer Security (TLS) technológiával. A rendszergazda úgy engedélyezheti az SSL protokollon keresztüli LDAP (LDAPS) kommunikációt, ha Microsoft vagy nem Microsoft hitelesítésszolgáltatótól származó, megfelelő formátumú digitális tanúsítványt telepít, a Microsoft Tudásbázis 321051. sz. cikkében olvasható irányelvek szerint.
A támadó a biztonsági rés kihasználásához speciálisan kialakított LDAP- illetve LDAPS-csomagot küldhet az ADAM-, az AD LDS- vagy az Active Directory-kiszolgálónak. A Microsoft Windows 2000 Server rendszerben bármely névtelen felhasználó, aki hozzáféréssel rendelkezik a célhálózathoz, képes speciálisan létrehozott hálózati csomagot küldeni az érintett rendszerre a biztonsági rés kihasználása végett. A többi érintett platform esetében a támadónak érvényes hitelesítő adatokkal kell rendelkeznie a biztonsági rés kihasználásához.
A Lightweight Directory Access Protocol (LDAP) az Active Directory, ADAM és AD LDS szolgáltatásokhoz nélkülözhetetlen. Ezért a biztonsági rés minden ADAM-, AD LDS- vagy Active Directory-kiszolgálóként futtatott rendszert érint.
A frissítés a biztonsági rés elhárítása érdekében gondoskodik a hibás LDAP- vagy LDAPS-kérelmek helyes feldolgozásáról.
Telepítés felhasználói beavatkozás nélkül Microsoft Windows 2000 Server rendszeren futó Active Directory esetén:
Telepítés újraindítás nélkül Microsoft Windows 2000 Server rendszeren futó Active Directory esetén:
Frissítési naplófájl KB973037.log
Információ az eltávolításhoz Microsoft Windows 2000 Server rendszerre telepített Active Directory esetén használja a Vezérlőpult Programok telepítése és törlése parancsát vagy a Spuninst.exe segédprogramot, amely a %Windir%\$NTUninstallKB973037$\Spuninst mappában található
Fájlinformációk Lásd a Microsoft Tudásbázis 973037. számú cikkét
Rendszerleíró kulcsok ellenőrzése HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB973037
Telepítés felhasználói beavatkozás nélkül Windows XP Service Pack 2 és Windows XP Service Pack 3 rendszeren futó Alkalmazásmódú Active Directory (ADAM) esetén:
Telepítés újraindítás nélkül Windows XP Service Pack 2 és Windows XP Service Pack 3 rendszeren futó Alkalmazásmódú Active Directory (ADAM) esetén:
Frissítési naplófájl KB973039.log
Információ az eltávolításhoz Használja a Vezérlőpult Programok telepítése és törlése lehetőségét vagy a Spuninst.exe segédprogramot, amely a %Windir%\$NTUninstallKB973039$\Spuninst mappában található.
Fájlinformációk Lásd a Microsoft Tudásbázis 973039. számú cikkét
Frissítési naplófájl Windows Server 2003 rendszeren futó Active Directory esetén:
Információ az eltávolításhoz Active Directory esetén használja a Vezérlőpult Programok telepítése és törlése parancsát vagy a Spuninst.exe segédprogramot, amely a %Windir%\$NTUninstallKB973037$\Spuninst mappában található
Alkalmazásmódú Active Directory (ADAM) esetén használja a Vezérlőpult Programok telepítése és törlése parancsát vagy a Spuninst.exe segédprogramot, amely a %Windir%\$NTUninstallKB973039$\Spuninst mappában található
Fájlinformációk A Windows Server 2003 rendszeren futó Active Directory alkalmazásról lásd a Microsoft Tudásbázis 973037. számú cikkét
A Windows Server 2003 rendszeren futó alkalmazásmódú Active Directory (ADAM) programról lásd a Microsoft Tudásbázis 973039. számú cikkét
Rendszerleíró kulcsok ellenőrzése Windows Server 2003 rendszeren futó Active Directory esetén: