Start » Microsoft Office » Andere Office Software » MS02-026: Niet-gecontroleerde buffer in werkproces van ASP.NET (Japans)

MS02-026: Niet-gecontroleerde buffer in werkproces van ASP.NET (Japans)

Gepost op 15-08-2006 - Microsoft Office - 0 reacties

De informatie in dit artikel is van toepassing op:

Microsoft ASP.NET 1.0
Microsoft .NET Framework 1.1

Symptomen

Er is sprake van een beveiligingsprobleem met betrekking tot bufferoverschrijding in Microsoft ASP.NET. Een aanvaller die dit beveiligingslek weet te misbruiken, kan ervoor zorgen dat de toepassing die op de webserver wordt uitgevoerd, opnieuw wordt gestart. Hoewel Microsoft dit niet heeft kunnen aantonen, kan een aanvaller dit beveiligingslek bovendien misbruiken om code uit te voeren op de webserver. De code kan worden uitgevoerd in de beveiligingscontext van het werkproces van ASP.NET (Aspnet_wp.exe), waarbij standaard een account zonder machtigingen wordt gebruikt.

Dit beveiligingsprobleem heeft alleen invloed op ASP.NET-toepassingen die gebruikmaken van de modus StateServer om sessiestatusgegevens te beheren. De modus StateServer is niet de standaardmodus. Dit beveiligingsprobleem heeft alleen invloed op toepassingen die naast de modus StateServer ook cookies gebruiken. Dit beveiligingsprobleem heeft geen invloed op toepassingen die gebruikmaken van de modus StateServer zonder cookies.

Oorzaak

Dit beveiligingsprobleem doet zich voor omdat een functie die cookiegegevens verwerkt in de service ASPState de lengte van de doorgegeven cookies niet goed kan controleren.

Oplossing

U kunt dit probleem oplossen met het meest recente service pack voor Microsoft .NET Framework. Ga naar het volgende artikel in de Microsoft Knowledge Base voor meer informatie:

318836
INFO: How to Obtain the Latest .NET Framework Service Pack

Informatie over de software-update

Microsoft heeft nu een ondersteunde correctie voor dit probleem beschikbaar gesteld. Deze correctie is echter alleen bedoeld om het probleem te verhelpen dat in dit artikel wordt beschreven. Pas de correctie alleen toe op systemen waarvoor het gevaar van een aanval bestaat. Controleer de fysieke toegankelijkheid van uw computer, de netwerk- en internetverbinding en andere factoren om vast te stellen hoe kwetsbaar uw computer is. Raadpleeg het bijbehorende Microsoft-beveiligingsbulletin om de kwetsbaarheid te bepalen. Deze correctie moet wellicht extra worden getest. Als uw computer redelijk kwetsbaar is, wordt u aangeraden deze correctie nu te installeren. Als dit niet het geval is, kunt u wachten op het volgende Service Pack voor Microsoft .NET Framework waarin deze correctie is opgenomen.

Als u het probleem onmiddellijk wilt verhelpen, downloadt u de oplossing door de aanwijzingen verderop in dit artikel te volgen of neemt u contact op met Microsoft Product Support Services om de oplossing op te halen. Een volledige lijst met telefoonnummers van Microsoft Product Support Services en informatie over kosten van ondersteuning vindt u op de volgende Microsoft-website:

http://support.microsoft.com/default.aspx?scid=fh;NL;CNTACT

Opmerking in speciale gevallen kunnen kosten die normaal verbonden zijn aan ondersteuningsoproepen, worden geannuleerd als een medewerker van Microsoft Product Support Services van mening is dat een specifieke update de oplossing van uw probleem is. De normale ondersteuningskosten blijven gelden voor extra ondersteuningsvragen die niet in aanmerking komen voor de specifieke update in kwestie.

Voorwaarden

Voor deze update is Microsoft .NET Framework Service Pack 1 vereist. Voor meer informatie over het ophalen van het meest recente service pack voor .NET Framework, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

318836 INFO: How to Obtain the Latest .NET Framework Service Pack

Downloadgegevens

De update voor dit probleem kunt u downloaden vanaf de volgende website van Microsoft:

http://msdn.microsoft.com/netframework/downloads/updates/asphotfix.asp

Releasedatum: 06.06.02

Als u meer informatie wilt over het downloaden van Microsoft-ondersteuningsbestanden, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

119591 How to Obtain Microsoft Support Files from Online Services

Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand werd gepubliceerd. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.

Installatieopties

Met de volgende opdrachtregel wordt de update geïnstalleerd zonder tussenkomst van de gebruiker en zonder automatisch opnieuw opstarten van de computer:

ndp10_qfem_q322298_ja.exe /Q

WAARSCHUWING: Zie de onderstaande problemen met de installatie en bedenk dat uw computer kwetsbaar is totdat u deze opnieuw hebt opgestart.

Problemen met de installatie

Voor meer informatie over problemen met de installatie van dit beveiligingsbulletin, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

324292 INFO: Installation Issues with Silent Install of Security Bulletin MS02-026

Bestandsgegevens

De volgende bestanden worden gekopieerd naar de map %WINDIR%\Microsoft.NET\Framework\v1.0.3705\:

   Versie        Bestandsnaam   -------------------------------   1.0.3705.272  Aspnet_isapi.dll   1.0.3705.272  Aspnet_wp.exe   1.0.3705.272  Aspnet_regiis.exe       --        Aspnet_perf.ini       --        Aspnet_perf2.ini   1.0.3705.272  System.Web.dll

De volgende bestanden worden gekopieerd naar de map %WINDIR%\Microsoft.NET\Framework\v1.0.3705\ASP.NETClientFiles\:
Versie Bestandsnaam ----------------------- -- SmartNavIE5.js -- SmartNav.js

Status

Microsoft heeft bevestigd dat dit probleem de beveiliging van Microsoft ASP.NET kan verminderen.

In Service Pack 2 voor Microsoft .NET Framework is voor het eerst een correctie aangebracht voor dit probleem.

Meer informatie

Als u meer informatie wilt over dit beveiligingslek, gaat u naar de volgende Microsoft-website:

http://www.microsoft.com/technet/security/bulletin/MS02-026.asp

De gelokaliseerde patches voor dit beveiligingsprobleem (MS02-026) hebben verschillende nummers in de Microsoft Knowledge Base (KB). Het KB-nummer en de overeenkomstige taal van de gelokaliseerde patches worden weergegeven in de volgende tabel.