Güvenlik Bülteni

Microsoft Güvenlik Bülteni MS00-059 - Kritik

'Java VM Applet' Güvenlik Açığı için Düzeltme Eki Kullanılabilir

Güncelleştirme: 01 Temmuz 2009

Sürüm: 2.0

İlk gönderme tarihi: 21 Ağustos 2000

Özet

Microsoft, Microsoft sanal makinesindeki (Microsoft® VM) güvenlik açığını ortadan kaldıran bir düzeltme eki yayımladı. Kötü amaçlı bir web sitesi operatörü bir kullanıcıyı sitesini ziyaret etmeye ikna edebildiyse, bu güvenlik açığı kullanıcının kimliğine bürünmesini, kimliğini kullanarak diğer siteleri ziyaret etmesini ve bilgileri sitelerine geri aktarmasını sağlayabilir.

Etkilenen Yazılım:
Microsoft VM'nin sürümleri, SSS'de açıklandığı gibi JVIEW aracı kullanılarak belirlenebilen derleme numaralarıyla tanımlanır. Microsoft VM'nin aşağıdaki derlemeleri etkilenir:

• 3315 veya önceki bir numaralı 3000 serisindeki tüm derlemeler.

Genel Bilgiler

Teknik ayrıntılar

Teknik açıklama:

Microsoft VM, Win32® işletim ortamı için bir sanal makinedir. Microsoft Windows® 95, 98 veya Windows NT® ya da Windows 2000 üzerinde çalışır. Her işletim sisteminin bir parçası olarak ve ayrıca Microsoft Internet Explorer'ın bir parçası olarak gönderilir. Microsoft Internet Explorer 4.x ve Internet Explorer 5.x ile birlikte gelen Microsoft VM sürümü, java uygulamasının korumalı alan tarafından ayarlanan sınırların dışında çalışmasına izin verebilecek bir güvenlik açığı içerir.

Tasarım gereği, bir uygulama yalnızca onu barındıran web sitesiyle iletişim kurabilmelidir. Ancak, bu güvenlik açığı bir uygulamanın bu kısıtlamayı atlamasına izin verir. Bir kullanıcı kötü amaçlı bir kullanıcı tarafından işletilen bir web sitesini ziyaret ettiyse, site başka bir web sitesiyle bağlantı kurabilecek ve web oturumundaki tüm bilgileri kötü amaçlı kullanıcının sitesine iletebilecek bir uygulama başlatabilir.

Oturum, kötü amaçlı kullanıcınınki yerine, ziyaret eden kullanıcının kılığında oluşturulur. Bu nedenle, güvenlik duvarının arkasında bulunan bir intranet sitesine erişmek, kullanıcının kimliğindeki bilgilere erişmek ve kötü amaçlı kullanıcıya aktarmak için güvenlik açığı kullanılabilir. Tek önkoşul, kötü amaçlı kullanıcının intranet sitesinin adını bilmesi veya tahmin etme ihtiyacı olmasıdır. Uygulama, sitede kimlik doğrulaması yapmak için kullanıcının kimlik bilgilerini kullanabilse de, bu güvenlik açığı bunları tehlikeye atmak için bir yol sağlamaz.

Sık sorulan sorular

Bu bülten neyle ilgili?
Microsoft Güvenlik Bülteni MS00-059 , Microsoft sanal makinesindeki (Microsoft® VM) güvenlik açığını ortadan kaldıran bir düzeltme ekinin kullanılabilirliğini duyurur. Bu güvenlik açığı, bir web sitesini çalıştıran kötü amaçlı bir kullanıcının, sitesini ziyaret eden bir kullanıcı kılığında diğer web sitelerini ziyaret etmelerine izin verebilir.

Güvenlik açığının kapsamı nedir?
Bu güvenlik açığı, kötü amaçlı bir web sitesi operatörünün başka bir kullanıcı gibi davranan diğer web sitelerine (sitesini ziyaret etmeye ayarttığını) göz atmasına olanak tanır. Bu güvenlik açığı kötü amaçlı kullanıcının diğer kullanıcının kimliğini kullanmasına olanak tanır, ancak parolaları veya diğer bilgileri tehlikeye atmasına izin vermez. Kötü amaçlı kullanıcının ziyaret etmek istediği her bir web sitesinin tam adını bilmesi veya tahminde olması gerekir; bu, kullanıcının intranet'indeki siteler için zor olabilir.

"Brown Orifice" diye bir şey duydum. Bu güvenlik açığı bununla ilgili mi? 
Hayır "Brown Orifice", çeşitli satıcıların Java uygulamalarında birden çok güvenlik açığından yararlanan bir programdır. Buradaki sorundaki güvenlik açığı, kapsam ve etki açısından bunlardan birine benzer olsa da, "Brown Orifice" tarafından yararlanılanlardan farklıdır.

Tüm Java programları bu güvenlik açığından etkileniyor mu?
Hayır Java programlarının iki genel sınıfı vardır: Üzerinde çalıştıkları makinede barındırılan Java uygulamaları ve web sitelerinde barındırılan ve siteyi ziyaret ettiğinde kullanıcının bilgisayarlarında çalıştırılan Java uygulamaları. Bu güvenlik açığından yalnızca Java uygulamaları etkilenir. Java uygulamaları güvenilmeyen kod olduğundan, Java uygulamalarından farklı şekilde ele alır. Yapabileceklerini kısıtlamak için "korumalı alan" kullanan bir sanal makine içinde çalıştırılırlar. Genel olarak korumalı alan, bir Java uygulamasının kullanıcının bilgisayarında uygunsuz eylemler gerçekleştirmesini önlemek için tasarlanmıştır. Burada sorun olan güvenlik açığı, korumalı alanda bir açık içerir.

Bu güvenlik açığının nedeni nedir?
Tasarım gereği, imzalanmamış bir Java uygulaması yalnızca onu barındıran web sitesiyle iletişim kurabilmelidir. Ancak, Microsoft VM'deki bir kusur, bir uygulamanın bu kısıtlamayı atlamasına ve başka bir web sitesiyle iletişim kurmasına izin verebilir.

İmzalanan elmanın önemi nedir?   Kullanıcının güvendiği biri tarafından imzalanan applet'ların, güvenilir kod oldukları için diğer web siteleriyle iletişim kurmasına izin verilir. Ancak, imzasız elmalara güvenilmez ve sonuç olarak bu tür bir işlem yapılamaz. Buradaki genel sorun, güvenlik açığının güvenilmeyen, yani imzasız bir uygulamanın yalnızca bir güvenen uygulamanın gerçekleştirebileceği eylemler gerçekleştirmesine izin vermesidir.

İmzasız bir uygulamanın diğer web siteleriyle iletişim kurmasına izin vermeyle ilgili sorun nedir?
Kötü amaçlı bir web sitesi operatörü kullanıcıyı web sitesini ziyaret etmeye ikna edebilirse, ziyaret eden kullanıcının bilgisayarında güvenlik açığından yararlanan bir uygulama oluşturabilir. Bu, kötü amaçlı kullanıcının ziyaret eden kullanıcı gibi davranan web sitelerini ziyaret etmelerine olanak tanır.

Ne olmuş yani? Kötü amaçlı kullanıcı web sitelerini kendi ziyaret edemiyor mu?
Bazı durumlarda güvenlik açığı kötü amaçlı kullanıcıya herhangi bir fayda sağlamaz. Örneğin, applet www.microsoft.com ziyaret ettiyse, Microsoft web sitesi zaten ziyaret etmek isteyen herkese açık olduğundan, bu onun için hiçbir değeri olmaz. Ancak, ziyaret eden kullanıcının bir şirket intranetinde olduğunu varsayalım. Uygulama, intranette normalde kötü amaçlı kullanıcının erişemediği siteleri ziyaret edebilir, bir web oturumu ayarlayabilir ve içeriği kötü amaçlı kullanıcının sitesine iletebilir.

Uygulama neden web sitelerinde kullanıcı olarak gezinebiliyor? Parolasını nasıl öğrenebilir?
Uygulama kullanıcının parolasını öğrenemez, ancak çoğu durumda (özellikle intranet durumları) öğrenmesi gerekmez. Birçok intranet, kullanıcının oturum açma kimlik bilgilerinin bir web sitesi veya başka bir hizmet tarafından gerektiğinde işletim sistemi tarafından güvenli ve otomatik olarak geçirilmesine izin verecek şekilde yapılandırılır. Böyle bir durumda, uygulama kullanmak için kimlik bilgilerine gerçekten erişebilmesi gerekmez. Yalnızca bir intranet sitesiyle bağlantı kurar ve diğer her şey otomatik olarak gerçekleşir. Güvenlik açığı bir uygulamanın kullanıcının kimlik bilgilerini kullanmasına izin vermese de, güvenlik açığının güvenliğini aşmasına izin vermediğini unutmayın. Başka bir ifadeyle, uygulama kullanıcının parolasını okuyamadı veya değiştiremedi. Ayrıca, bir intranet sitesi parola isteyen bir iletişim kutusu görüntülemişse uygulamanın yanıt veremediğine ve yalnızca otomatik kimlik doğrulamasından yararlanabileceğine dikkat etmek önemlidir.

İnternet siteleri ne olacak? Burada herhangi bir risk var mı?
Evet. Kullanıcının banka web sitesinde hesabı varsa ve kullanıcı kimliğini ve parolayı önbelleğe aldıysa, uygulama bu siteyi ziyaret edebilir ve kişisel bilgilere erişebilir.

Şirket intranetim bir güvenlik duvarı tarafından korunuyor. Bu, uygulama tarafından kötü amaçlı kullanıcının web sitesine bilgi iletilmesini engeller mi?
Hayır Güvenlik açığından etkilenmek için bir kullanıcının önce kötü amaçlı bir kullanıcının web sitesini ziyaret etmesi gerektiğini unutmayın. Böyle bir durumda, web oturumu güvenlik duvarının içinden kaynaklanır ve bundan sonra geçirilen tüm veriler bu oturuma geri yüklenir. Bu, uygulama tarafından güvenlik duvarından veri geçirilmesini sağlar.

Kötü amaçlı kullanıcı hangi web sitelerini ziyaret edeceğini nasıl bilir?
O yapmaz. Ziyaret etmek istediği her intranet veya İnternet web sitesinin adını bilmesi veya tahmin etme ihtiyacı vardır.

Uygulama web sitelerini ziyaret etmekten başka bir şey yapabilir mi?
Evet. Uygulama, web oturumları (HTTP veya HTTPS) oluşturabilmenin yanı sıra Telnet veya FTP oturumları da kurabilir. Ancak bu protokollerin riski web oturumlarından çok daha azdır. Applet'ın şu dosyayı kullanarak oturum oluşturamadığı dikkat çekicidir: protokol. Başka bir ifadeyle, bu güvenlik açığı aracılığıyla yerel makinede veya uzak makinelerde dosyaları görüntüleme, ekleme, değiştirme veya silme özelliği yoktur.

Bu güvenlik açığından yanlışlıkla yararlanılabilir mi?
Hayır Bu durumda korumalı alan kısıtlamalarını atlamak için gereken adımlar kümesinin yanlışlıkla gerçekleşme olasılığı oldukça düşüktür.

Güvenlik açığına sahip bir Microsoft VM sürümüne sahip olup olmadığını Nasıl yaparım? biliyor musunuz?
Bunu anlamanın en kolay yolu, makinenize yüklediğiniz yazılımı denetlemektir:

• IE 4.x veya IE 5.x kullanıyorsanız, kesinlikle güvenlik açığından etkilenen bir VM sürümünüz vardır. Yüklediğiniz diğer yazılımlar önemli değildir; IE 4.x veya 5.x yüklüyse, VM'nin etkilenen bir sürümüne sahipsinizdir.
• IE'nin güvenlik açığından etkilenen bir sürümünü kullanmıyor olsanız bile, Visual Studio gibi diğer ürünlerin bir parçası olarak kullanıma sunulan Microsoft VM'nin etkilenen bir sürümüne sahip olmaya devam edebilirsiniz. Bu durumda en iyi kurs, kullandığınız Microsoft VM sürümünün derleme numarasını belirlemek ve etkilenen bir sürümünüz olup olmadığını görmektir.

Nasıl yaparım? Microsoft VM sürümüm için derleme numarasını belirler mi?
Bir komut penceresi açın:

• Windows NT veya Windows 2000'de "Başlat"ı, ardından "Çalıştır"ı seçin, ardından "CMD" yazın ve enter tuşuna basın.
• Windows 95 veya 98'de "Başlat"ı seçin, ardından "Çalıştır"ı seçin, ardından "COMMAND" yazın ve enter tuşuna basın.
• Komut isteminde "JVIEW" yazın ve enter tuşuna basın.

Sürüm bilgileri en üst satırın sağında yer alır. "5.00.xxxx" gibi bir biçime sahip olur ve burada "xxxx" derleme numarasıdır. Örneğin, sürüm numarası 5.00.1234 ise, derleme numarası 1234'dür.

Derleme numarasını belirledim. Etkilenip etkilenmediğim Nasıl yaparım??
Etkilenen bir sürüme sahip olup olmadığınızı belirlemek için bu tabloyu kullanın:

Not: Microsoft VM'nin etkilenen bir sürümüne sahip olan tüm kullanıcıların yeni VM derlemesini yüklemesi gerekir.

Düzeltme ne yapar?
Çeşitli VM derlemelerine yönelik düzeltme, bu güvenlik açığını önlemek için korumalı alan kısıtlamalarını geri yükler.

Düzeltme ekini nereden alabilirim?
VM'nin ve düzeltme eklerinin yeni sürümleri için indirme konumu, güvenlik bülteninin "Düzeltme Eki Kullanılabilirliği" bölümünde sağlanır.

Düzeltme ekini Nasıl yaparım? kullanıyorsunuz?
Bilgi Bankası makalesi Q271752 düzeltme eki ve güncelleştirilmiş VM derlemelerini uygulamak için ayrıntılı yönergeler içerir.

Düzeltme ekini doğru yükleyip yüklemediğim nasıl anlanabilir?
Bilgi Bankası makalesi Q271752 düzeltme eki paketindeki dosyaların bildirimini sağlar. Düzeltme ekini doğru yüklediğinizi doğrulamanın en kolay yolu, bu dosyaların bilgisayarınızda bulunduğunu ve KB makalesinde gösterildiği gibi aynı boyutlara ve oluşturma tarihlerine sahip olduğunu doğrulamaktır.

Not: Jview'dan görüntülenen sürüm numarasından bağımsız olarak, yukarıdaki makalede açıklanan kayıt defteri anahtarı bu düzeltme ekinin düzgün yüklenmesi için belirleyici faktör olmalıdır.

Microsoft bu sorun hakkında ne yapıyor?

• Microsoft, güvenlik açığını ortadan kaldıran bir düzeltme eki sundu.
• Microsoft, müşterilere güvenlik açığı ve bu güvenlik açığını ortadan kaldırma yordamı hakkında ayrıntılı bilgi sağlamak için bir güvenlik bülteni ve bu SSS'yi sağlamıştır.
• Microsoft, tüm abonelere güvenlik bülteninin kopyalarını, müşterilerin Microsoft güvenlik bültenleriyle güncel kalmak için kullanabilecekleri ücretsiz bir e-posta hizmeti olan Microsoft Ürün Güvenliği Bildirim Hizmeti'ne göndermiştir.
• Microsoft, güvenlik açığını ve yordamı daha ayrıntılı açıklayan Q271752 bir Bilgi Bankası makalesi yayımladı.

Güvenlikle ilgili en iyi yöntemler hakkında nereden daha fazla bilgi edinebilirim? Microsoft TechNet Security web sitesi, Microsoft güvenliği hakkında bilgi almak için en iyi yerdir.

Bu sorunla ilgili teknik destek Nasıl yaparım??Microsoft Ürün Destek Hizmetleribu veya başka bir ürün desteği sorunuyla ilgili yardım sağlayabilir.

Düzeltme eki kullanılabilirliği

Microsoft Java Sanal Makinesi artık desteklenmedi. Daha fazla bilgi için lütfen Microsoft Java Sanal Makinesi ve Microsoft Java Sanal Makine Desteği'ne bakın.

Diğer bilgiler:

Destek: Bu tam olarak desteklenen bir yamadır. Microsoft Ürün Destek Hizmetleri ile iletişime geçmeyle ilgili bilgilere https: adresinden ulaşabilirsiniz:

Güvenlik Kaynakları: Microsoft TechNet Güvenlik Web Sitesi, Microsoft ürünlerinde güvenlik hakkında ek bilgiler sağlar.

Bildirim:

Microsoft Bilgi Bankası'nda sağlanan bilgiler herhangi bir garanti olmadan "olduğu gibi" sağlanır. Microsoft, satılabilirlik ve belirli bir amaca uygunluk garantileri dahil olmak üzere açık veya zımni tüm garantileri reddeder. Microsoft Corporation veya tedarikçilerine bu tür zararlar olabileceği bildirilmiş olsa bile, doğrudan, dolaylı, arızi, neticede iş kârı kaybı veya özel zararlar dahil olmak üzere hiçbir durumda Microsoft Corporation veya tedarikçileri herhangi bir zarardan sorumlu tutulamaz. Bazı eyaletler, ortaya çıkabilecek veya arızi zararlar için sorumluluğun hariç tutulmasına veya sınırlandırılmasına izin vermez, bu nedenle söz konusu sınırlama geçerli olmayabilir.

Düzeltme:

• V1.0 (21 Ağustos 2000): Bülten Oluşturuldu.
• V1.1 (26 Ocak 2001): Bülten VM düzeltme eki sürümü güncelleştirmesini yansıtacak şekilde güncelleştirildi.
• V1.2 (20 Temmuz 2002): Konum indirilirken güncelleştirme yapıldı.
• V1.3 (28 Şubat 2003): Konum indirilirken güncelleştirme yapıldı.
• V2.0 (1 Temmuz 2009): Microsoft Java Sanal Makinesi artık Microsoft'tan dağıtım için kullanılamadığından indirme bilgileri kaldırıldı. Daha fazla bilgi için bkz . Düzeltme eki kullanılabilirliği.

2014-04-18T13:49:36Z-07:00</https adresinde derlenir:>