CCERT编号:CCERT-0124

CVE编号: CVE-2006-0032

公告编者: starry

发布时间: 2006-09-13 15:32

最后一次更新时间: 2006-09-13 15:33

公告来源: Microsoft 安全公告MS06-053

详细描述:

微软的索引服务是为文件系统和虚拟Web 服务器创建内容和属性的索引目录的一种服务。索引

服务可用于应用程序和脚本，从而更高效地管理和查询文件系统或Web 服务器中的信息并为这

些信息编制索引。 索引服务还会提供许多查询机制，从而更高效地访问目录中的信息。

索引服务由于处理查询验证的方式而存在一个信息泄露漏洞。 该漏洞可能允许攻击者代

表用户运行客户端脚本。 该脚本可能欺骗内容、泄露信息或执行用户可以在受影响的网

站上执行的任何操作。

影响系统:

Microsoft Windows 2000 Service Pack 4

Microsoft Windows XP Service Pack 1

Microsoft Windows XP Service Pack 2

Microsoft Windows XP Professional x64 Edition

Microsoft Windows Server 2003

Microsoft Windows Server 2003 Service Pack 1

Microsoft Windows Server 2003（用于基于Itanium 的系统）

Microsoft Windows Server 2003 SP1（用于基于Itanium 的系统）

Microsoft Windows Server 2003 x64 Edition

风险:高

危害描述:

远程执行任意代码

解决方案:

临时解决办法：

1、不要从Web 服务器或任何其他服务器角色的系统浏览Internet。

2、禁用Internet Explorer 中的页面编码自动检测。

3、在运行IIS 5.0的Windows 2000上使用URLScan

4、从运行IIS 5.0的Windows 2000上的Internet信息服务中删除索引服务器ISAPI扩展脚本映射

5、删除索引服务

6、从运行IIS 6.0的Windows 2003上的IIS中禁用索引服务扩展

补丁下载：

厂商已经针对该漏洞发布了相应的安全公告,你可以使用windows自带的update功能进行更新,同时

你也可以使用我们提供的WSUS服务器(http://sus.ccert.edu.cn>进行更新，如果您的系统无法自动

更新，您也可以到我们网站上下在相应的补丁程序手动安装：

win2000 sp4系统 中文版补丁 英文版补丁

winxp sp1,sp2系统 中文版补丁 英文版补丁

win2003 sp1系统 中文版补丁 英文版补丁

参考连接:

http://www.microsoft.com/china/technet/Security/bulletin/ms06-053.mspx