Dit artikel vervangt artikel 328145 in de Microsoft Knowledge Base.
Symptomen
De eerste versie van het Microsoft-beveiligingsbulletin MS02-050 werd uitgebracht op 5 september 2002. Op 9 september 2002 is het bulletin bijgewerkt om klanten erop te wijzen dat een digitaal certificaat van Microsoft voor het ondertekenen van apparaatstuurprogramma's niet meer voldeed aan de strengere verificatiestandaard in deze patch. Klanten die de patch installeren, krijgen daarom wellicht onverwachte foutberichten wanneer ze nieuwe hardware installeren of kunnen in sommige gevallen geen nieuwe hardware installeren. Er is een bijgewerkte patch uitgebracht op 20 november 2002. Deze nieuwe patch lost niet alleen dit probleem op, maar biedt tevens bescherming tegen een onlangs ontdekte variant van het oorspronkelijke beveiligingslek.
In het IETF-profiel van de X.509-certificaatstandaard worden een aantal optionele velden gedefinieerd die kunnen worden opgenomen in een digitaal certificaat. Een van deze velden is het veld Essentiële beperkingen, dat de maximaal toegestane lengte van de certificaatketen aangeeft en of het certificaat een certificeringsinstantie of een eindentiteitcertificaat is. De functies in CryptoAPI die de certificaatketens maken en verifiëren (de functies
CertGetCertificateChain,
CertVerifyCertificateChainPolicy en
WinVerifyTrust), controleren het veld Essentiële beperkingen echter niet. Dezelfde fout treedt ook in enkele Microsoft-producten voor Macintosh op. In dat geval wordt de fout niet veroorzaakt door CryptoAPI.
Het beveiligingslek dat in de oorspronkelijke versie van het bulletin is herkend, kan een aanvaller, of kwaadwillende gebruiker, met een geldig eindentiteitcertificaat toestaan een ondergeschikt certificaat te verlenen dat wordt gevalideerd, hoewel het niet geldig is. Omdat CryptoAPI door veel toepassingen wordt gebruikt, kan de kwaadwillende gebruiker zich op verschillende manieren voordoen als iemand anders. Dit kan onder andere door:
- Het bouwen van een website die zich voordoet als een andere website door een SSL-sessie tot stand te brengen als de originele website.
- Het verzenden van e-mailberichten die worden ondertekend met een digitaal certificaat dat ogenschijnlijk van een andere gebruiker is.
- Het vervalsen van verificatiesystemen die zijn gebaseerd op certificaatcontrole om toegang te krijgen als een gebruiker met veel machtigingen.
- Schadelijke software digitaal ondertekenen met een Authenticode-certificaat dat lijkt te zijn uitgegeven door een bedrijf dat gebruikers wellicht vertrouwen.
Het onlangs vastgestelde beveiligingslek dat is aangekondigd op 20 november 2002, komt sterk overeen met het beveiligingslek dat wordt beschreven in de oorspronkelijke versie van het bulletin. Net als dat beveiligingslek bestaat het nieuwe lek uit een fout in de manier waarop certificaatverificatie wordt uitgevoerd. Dit beveiligingslek stelt een aanvaller echter in staat volledig beheer over de computer van een gebruiker te krijgen. Omdat de oplossing voor dit beveiligingslek niet was opgenomen in de aanvankelijke versie van de patch, wordt klanten aangeraden de nieuwe patch te installeren, zelfs wanneer deze de aanvankelijke versie van de patch al hebben geïnstalleerd.
Alleen Microsoft Windows 98, Microsoft Windows 98 Tweede editie, Microsoft Windows NT 4.0 en Microsoft Windows NT 4.0, Terminal Server-editie worden beïnvloed door deze variant van het beveiligingslek.
Oplossing
Klik op een van de volgende koppelingen voor meer informatie over het corrigeren van dit beveiligingslek:
Windows XP (alle versies)
Downloadgegevens
U kunt het volgende bestand downloaden van het Microsoft Downloadcentrum:
Releasedatum: 20.11.02
Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
119591 How to Obtain Microsoft Support Files from Online Services
Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.
Installatiegegevens
Nadat u deze update hebt toegepast, moet u de computer opnieuw opstarten. Deze update kan worden geïnstalleerd met de volgende Setup-schakelopties:
- /?: De lijst met schakelopties voor de installatie weergeven.
- /u: Modus zonder toezicht gebruiken.
- /f: Andere programma's geforceerd afsluiten wanneer de computer wordt afgesloten.
- /n: Geen reservekopie maken van bestanden die worden verwijderd.
- /o: OEM-bestanden zonder waarschuwing overschrijven.
- /z: De computer niet opnieuw opstarten wanneer de installatie is voltooid.
- /q: Stille modus gebruiken (geen interactie met de gebruiker).
- /l: Geïnstalleerde hotfixes weergeven.
- /x De bestanden uitpakken zonder Setup uit te voeren.
Als u de update bijvoorbeeld zonder tussenkomst van de gebruiker wilt installeren en wilt aangeven dat de computer niet opnieuw moet worden opgestart, gebruikt u de volgende opdrachtregel:
q329115_wxp_sp2_x86_enu /u /q /z
Waarschuwing De computer is kwetsbaar totdat u de computer opnieuw hebt opgestart.
Bestandsgegevens
De Engelse versie van deze correctie heeft de bestandskenmerken die in de volgende tabel worden weergegeven (of recentere kenmerken). De datums en tijden voor deze bestanden worden weergegeven in UTC-notatie (Coordinated Universal Time). Wanneer u de bestandsinformatie weergeeft, wordt deze naar lokale tijd geconverteerd. Als u het verschil tussen UTC en lokale tijd wilt bepalen, gebruikt u het tabblad
Tijdzone van de optie Datum en tijd in het Configuratiescherm.
De volgende bestanden worden gekopieerd naar de map %WINDIR%\System32:
Windows XP Home Edition en Professional Datum Tijd Versie Grootte Bestandsnaam ---------------------------------------------------------- 23-sep-2002 20:10 5.131.2600.1123 544.256 Crypt32.dll
Windows XP 64-bits editie Datum Tijd Versie Grootte Bestandsnaam ------------------------------------------------------------ 23-sep-2002 20:10 5.131.2600.1123 1.920.512 Crypt32.dll 22-sep-2002 02:26 5.131.2600.1123 544.256 Wcrypt32.dll
Terug naar begin
Informatie over het Windows 2000 (alle versies) Service Pack
U lost dit probleem op door het meest recente service pack voor Microsoft Windows 2000 op te halen. In het volgende Microsoft Knowledge Base-artikel vindt u meer informatie:
260910 Het meest recente Windows 2000 Service Pack ophalen
Belangrijk Er kan een regressie optreden wanneer u Internet Explorer 6 Service Pack 1 (SP1) installeert op computers met Windows 2000 Service Pack (SP4). Deze regressie heeft tot gevolg dat de in dit bulletin beschreven update wordt verwijderd. Deze update maakt deel uit van Windows 2000 SP4. Pas de bijgewerkte beveiligingspatch voor Windows 2000 SP4 toe (zie verderop in dit artikel) om uw computer te beschermen tegen dit beveiligingslek.
Informatie over de beveiligingspatch voor Windows 2000 (alle versies)
Downloadgegevens
Windows 2000 SP4
U kunt het volgende bestand downloaden van het Microsoft Downloadcentrum:
Releasedatum: 11.11.03
Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
119591 How to Obtain Microsoft Support Files from Online Services
Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.
Windows 2000 SP2 en SP3
U kunt het volgende bestand downloaden van het Microsoft Downloadcentrum:
Releasedatum: 20.11.02
Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
119591 How to Obtain Microsoft Support Files from Online Services
Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.
Opmerking Als u deze oplossing toepast op een RIS-lidserver, moet u de oplossing ook toepassen op alle domeincontrollers in het domein. Als u dit niet doet, kunnen RIS-clients zich niet verifiëren met de UPN-indeling (User Principal Name). Als u de UPN-indeling gebruikt, wordt het volgende foutbericht weergegeven:
Logon error
The system cannot validate your user name, password, or domain name. Verify that your user name and domain name are correct, and then retype your password. Passwords must be typed using the correct case. Be sure the CAPS LOCK key is not pressed.
Installatiegegevens
Nadat u deze update hebt toegepast, moet u de computer opnieuw opstarten. Deze update kan worden geïnstalleerd met de volgende Setup-schakelopties:
- /?: De lijst met schakelopties voor de installatie weergeven.
- /u: Modus zonder toezicht gebruiken.
- /f: Andere programma's geforceerd afsluiten wanneer de computer wordt afgesloten.
- /n: Geen reservekopie maken van bestanden die worden verwijderd.
- /o: OEM-bestanden zonder waarschuwing overschrijven.
- /z: De computer niet opnieuw opstarten wanneer de installatie is voltooid.
- /q: Stille modus gebruiken (geen interactie met de gebruiker).
- /l: Geïnstalleerde hotfixes weergeven.
- /x: De bestanden uitpakken zonder Setup uit te voeren.
Als u de update bijvoorbeeld zonder tussenkomst van de gebruiker wilt installeren, en wilt aangeven dat de computer niet opnieuw moet worden opgestart, gebruikt u de volgende opdrachtregel:
Windows 2000 SP4
windows2000-kb329115-x86-enu /u /q /z
Windows 2000 SP2 en SP3
q329115_w2k_sp4_x86_en /u /q /z
Waarschuwing De computer heeft een verminderde beveiliging totdat u deze opnieuw opstart.
Bestandsgegevens
De Engelse versie van deze correctie heeft de bestandskenmerken die in de volgende tabel worden weergegeven (of recentere kenmerken). De datums en tijden voor deze bestanden worden weergegeven in UTC-notatie (Coordinated Universal Time). Wanneer u de bestandsinformatie weergeeft, wordt deze naar lokale tijd geconverteerd. Als u het verschil tussen UTC en lokale tijd wilt bepalen, gebruikt u het tabblad
Tijdzone van de optie Datum en tijd in het Configuratiescherm.
De volgende bestanden worden gekopieerd naar de map %WINDIR%\System32:
Windows 2000 SP4
Datum Tijd Versie Grootte Bestandsnaam ------------------------------------------------------- 14-jul-2003 20:18 5.0.1558.6608 90.384 Cryptdlg.dll
Windows 2000 SP2 en SP3
Datum Tijd Versie Grootte Bestandsnaam ---------------------------------------------------------------- 26-aug-2002 12:45 5.0.2195.5781 123.664 Adsldp.dll 26-aug-2002 12:45 5.0.2195.5781 131.344 Adsldpc.dll 26-aug-2002 12:45 5.0.2195.5781 62.736 Adsmsext.dll 26-aug-2002 12:45 5.0.2195.5992 358.160 Advapi32.dll 26-aug-2002 12:45 5.0.2195.5265 42.256 Basesrv.dll 26-aug-2002 12:45 5.0.2195.5855 49.424 Browser.dll 25-sep-2002 16:36 5.131.2195.6072 469.776 Crypt32.dll 25-sep-2002 16:36 5.0.1558.6072 90.384 Cryptdlg.dll 26-aug-2002 12:45 5.0.2195.6012 135.952 Dnsapi.dll 07-Nov-2002 19:08 5.0.2195.6076 96.016 Dnsrslvr.dll 26-aug-2002 12:45 5.0.2195.5722 45.328 Eventlog.dll 26-aug-2002 12:45 5.0.2195.5907 222.992 Gdi32.dll 26-aug-2002 12:45 5.0.2195.5859 145.680 Kdcsvc.dll 04-Jun-2002 17:31 5.0.2195.5859 199.952 Kerberos.dll 26-aug-2002 12:45 5.0.2195.6011 708.880 Kernel32.dll 21-aug-2002 12:27 5.0.2195.6023 71.248 Ksecdd.sys 22-jul-2002 19:54 5.0.2195.5960 507.152 Lsasrv.dll 22-jul-2002 19:54 5.0.2195.5960 33.552 Lsass.exe 26-aug-2002 12:45 5.0.2195.4733 332.560 Msgina.dll 12-aug-2002 20:54 5.0.2195.6006 108.816 Msv1_0.dll 26-aug-2002 12:45 5.0.2195.5979 307.472 Netapi32.dll 26-aug-2002 12:45 5.0.2195.5966 360.720 Netlogon.dll 06-sep-2002 14:40 5.0.2195.6044 917.264 Ntdsa.dll 26-aug-2002 12:45 5.0.2195.5936 119.568 Psbase.dll 26-aug-2002 12:45 5.0.2195.6025 389.392 Samsrv.dll 26-aug-2002 12:45 5.0.2195.5951 129.296 Scecli.dll 26-aug-2002 12:45 5.0.2195.5951 302.864 Scesrv.dll 23-Oct-2002 14:05 5.0.2195.6100 138.752 Sp3res.dll 13-Jun-2001 01:05 5.0.2195.3727 3.856 Svcpack1.dll 26-aug-2002 12:45 5.0.2195.6000 379.664 User32.dll 26-aug-2002 12:45 5.0.2195.5968 369.936 Userenv.dll 26-aug-2002 12:45 5.0.2195.5859 48.912 W32time.dll 04-Jun-2002 17:32 5.0.2195.5859 57.104 W32tm.exe 24-aug-2002 14:50 5.0.2195.6028 1.642.416 Win32k.sys 15-aug-2002 11:30 5.0.2195.6013 179.472 Winlogon.exe 26-aug-2002 12:45 5.0.2195.5935 243.472 Winsrv.dll 26-aug-2002 12:45 5.0.2195.5944 125.712 Wldap32.dll 22-jul-2002 19:54 5.0.2195.5960 507.664 Lsasrv.dll 56-bit 07-Nov-2002 19:08 5.0.2195.6011 708.880 Kernel32.dll UniProc 07-Nov-2002 19:08 5.0.2195.6028 1.642.416 Win32k.sys UniProc 26-aug-2002 12:45 5.0.2195.5935 243.472 Winsrv.dll UniProc
Opmerking Als gevolg van bestandsafhankelijkheden kan deze update uit meerdere bestanden bestaan. Deze update vereist Windows 2000 Service Pack 2 (SP2) of Service Pack 3 (SP3). Als u meer informatie wilt over het ophalen van het laatste service pack, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
260910 Het meest recente Windows 2000 Service Pack ophalen
Terug naar beginWindows NT 4.0 (alle versies)
Downloadgegevens
U kunt de volgende bestanden downloaden van het Microsoft Downloadcentrum:
Windows NT 4.0Windows NT Server 4.0, Terminal Server EditionReleasedatum: 20.11.02
Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
119591 How to Obtain Microsoft Support Files from Online Services
Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.
Installatiegegevens
Nadat u deze update hebt toegepast, moet u de computer opnieuw opstarten. Deze update kan worden geïnstalleerd met de volgende Setup-schakelopties:
- /y: Verwijderen (alleen met /m of /q).
- /f: Programma's geforceerd afsluiten tijdens het uitschakelen van de computer.
- /n: Geen map Uninstall maken.
- /z: Niet opnieuw opstarten nadat update is voltooid.
- /q: De stille modus of modus zonder toezicht gebruiken zonder gebruikersinterface (deze schakeloptie is een superset van /m).
- /m: De modus zonder toezicht gebruiken met gebruikersinterface.
- /l: Geïnstalleerde hotfixes weergeven.
- /x: De bestanden uitpakken zonder Setup uit te voeren.
Als u de update bijvoorbeeld zonder tussenkomst van de gebruiker wilt installeren, en wilt aangeven dat de computer niet opnieuw moet worden opgestart, gebruikt u de volgende opdrachtregel:
Waarschuwing De computer is kwetsbaar totdat u de computer opnieuw hebt opgestart.
Bestandsgegevens
De Engelse versie van deze correctie heeft de bestandskenmerken die in de volgende tabel worden weergegeven (of recentere kenmerken). De datums en tijden voor deze bestanden worden weergegeven in UTC-notatie (Coordinated Universal Time). Wanneer u de bestandsinformatie weergeeft, wordt deze naar lokale tijd geconverteerd. Als u het verschil tussen UTC en lokale tijd wilt bepalen, gebruikt u het tabblad
Tijdzone van de optie Datum en tijd in het Configuratiescherm.
De volgende bestanden worden gekopieerd naar de map %WINDIR%\System32:
Windows NT 4.0 Datum Tijd Versie Grootte Bestandsnaam ------------------------------------------------------------------ 12-sep-2002 21:10 5.131.1878.12 372.496 Crypt32.dll 25-sep-2002 18:36 5.0.1558.6072 90.384 Cryptdlg.dll 26-sep-2002 18:38 4.86.1964.1878 143.632 Schannel.dll 26-sep-2002 18:38 4.87.1964.1878 112.912 Schannel.dll 128-bit
Windows NT Server 4.0, Terminal Server-editie Datum Tijd Versie Grootte Bestandsnaam ------------------------------------------------------------------ 12-sep-2002 21:10 5.131.1878.12 372.496 Crypt32.dll 25-sep-2002 18:36 5.0.1558.6072 90.384 Cryptdlg.dll 26-sep-2002 18:38 4.86.1964.1878 143.632 Schannel.dll 26-sep-2002 18:38 4.87.1964.1878 112.912 Schannel.dll 128-bit
Opmerking Vanwege bestandsafhankelijkheden is voor deze update Windows NT 4.0 Service Pack 6a (SP6a) of Windows NT Server 4.0, Terminal Server-editie Service Pack 6 (SP6) vereist. Voor meer informatie klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
152734 De meest recente Windows NT 4.0 Service Pack ophalen
Terug naar beginWindows ME, Windows 98 Tweede editie en Windows 98
Downloadgegevens
U kunt de volgende bestanden downloaden van het Microsoft Downloadcentrum:
Windows Millennium Edition (ME)Windows 98 en Windows 98 Tweede editieReleasedatum: 20.11.02
Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
119591 How to Obtain Microsoft Support Files from Online Services
Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.
Bestandsgegevens
De Engelse versie van deze correctie heeft de bestandskenmerken die in de volgende tabel worden weergegeven (of recentere kenmerken). De datums en tijden voor deze bestanden worden weergegeven in UTC-notatie (Coordinated Universal Time). Wanneer u de bestandsinformatie weergeeft, wordt deze naar lokale tijd geconverteerd. Als u het verschil tussen UTC en lokale tijd wilt bepalen, gebruikt u het tabblad
Tijdzone van de optie Datum en tijd in het Configuratiescherm.
Windows Millennium Edition:
Datum Tijd Versie Grootte Bestandsnaam -------------------------------------------------------- 12-sep-2002 20:51 5.131.2133.6 468.752 Crypt32.dll 25-sep-2002 17:36 5.0.1558.6072 90.384 Cryptdlg.dll
Windows 98 en Windows 98 Tweede editie
Datum Tijd Versie Grootte Bestandsnaam --------------------------------------------------------- 12-sep-2002 20:10 5.131.1878.12 372.496 Crypt32.dll 25-sep-2002 17:36 5.0.1558.6072 90.384 Cryptdlg.dll 26-sep-2002 17:38 4.87.1964.1878 112.912 Schannel.dll
Terug naar beginOffice v. X, Office 2001, Office 98 voor Mac; Outlook Express voor Mac; Internet Explorer voor Mac
Voor meer informatie over het verkrijgen van patches voor deze producten gaat u naar de volgende Microsoft-website:
Terug naar begin