|
关于微软系列漏洞的安全公告
微软刚刚发布了2004年4月份的4个安全公告,这些公告描述并修复了大量安全漏洞,其中
有多个是非常严重的远程安全漏洞。发布的4个公告分别是:
Microsoft 安全公告 MS04-011
Microsoft Windows (835732) 安全性更新
影响系统:
Microsoft Windows NT Workstation 4.0 Service Pack 6a
Microsoft Windows NT Server 4.0 Service Pack 6a
Microsoft Windows NT Server 4.0 Terminal Server Edition Service Pack 6
Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 Service Pack 3
和Microsoft Windows 2000 Service Pack 4
Microsoft Windows XP和Microsoft Windows XP Service Pack 1
Microsoft Windows XP 64-Bit Edition Service Pack 1
Microsoft Windows XP 64-Bit Edition 2003版
Microsoft Windows Server 2003
Microsoft Windows Server 2003 64-Bit Edition
Microsoft NetMeeting
Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE)和Microsoft
Windows Millennium Edition (ME)
详细描述:
本公告修复了几个新发现的漏洞。下文中记录了这些漏洞。成功利用其中最严重漏洞的
攻击者可以完全控制受影响的系统,包括安装程序,浏览,更改或删除数据,或创建拥有完
全权限的新帐号。
1、LSASS漏洞
本地安全性授权服务(LSASS,Local Security Authority Subsystem Service)提供一种
接口,用来管理本地的安全、网络的授权及Active Directory服务。它能用来处理客户端及服
务器间的验证,同时包含了用来支持Active Directory服务的公用程序。最近发现LSASS服务
中存在未检查的缓冲区,导致存在缓冲溢出漏洞。攻击者成功利用该漏洞可以获得系统管理员权限。
临时解决办法:
* 使用个人防火墙,例如Windows XP和Windows Server 2003捆绑的Internet连接防火墙;
* 在防火墙阻断以下端口:
UDP 135, 137, 138和445端口,TCP 135, 139, 445和593端口
在大于1024的端口阻断所有没有请求的流入通讯
任何其他特别配置的RPC端口
* 在支持高级TCP/IP过滤特性的系统上启用这个特性;
* 在受影响系统上使用IPSec阻断受影响的端口。
2、LDAP漏洞
轻量级目录存取服务协议(LDAP,Lightweight Directory Access Protocol)是目
前通用的目录服务存取标准协议。最近发现windows系统的LSASS服务在处理特殊构造的LDAP协议包
时存在一个缺陷,当攻击者发送可以构造的LDAP数据包给LSASS,会导致LSASS服务停止响应并致使
系统重新启动,从而达到拒绝服务攻击。
临时解决办法:
* 在防火墙阻断LDAP TCP 389, 636, 3268和3269端口
注意封锁这些端口会导致Active Directory域验证无法进行
3、PCT 漏洞
Private Communications Transport (PCT)通讯协议是属于SSL (Secure Sockets Layer)函数库
的一部,PCT存在一个缓冲溢出漏洞,攻击者成功利用该漏洞可以获得系统管理员权限。这个
漏洞只存在于启用了SSL服务的系统中(通常情况下是win2000主域控制器)。另外所有使用SSL
协议的程序都可能受此漏洞的影响,他们包括:Microsoft Internet Information Services 4.0、
Microsoft Internet Information Services 5.0、Microsoft Internet Information Services 5.1、
Microsoft Exchange Server 5.5、Microsoft Exchange Server 2000、
Microsoft Exchange Server 2003、Microsoft Analysis Services 2000 (随SQL Server 2000 提供)
以及使用 PCT 的协议的其他商用程序。
临时解决办法:
* 通过注册表禁用PCT支持
4、winlogon漏洞
winlogon是windows系统的一个底层组件,用来提供交互式的登录支持,Winlogon.exe 是
Windows 中用来管理与用户登录安全相关的互动操作的程序,它会处理登录、注销、锁定或
解除锁定系统、变更密码及其他相关的请求。
当用户登录域系统的时候winlog服务会从域上读取相关的信息,并用这些信息来设定使
用者的环境。最近发现winlogon在这个过程中没有有效的检查获得数据的大小,导致一个缓冲
溢出漏洞存在。要想成功利用该漏洞,攻击者必须拥有该域中的一个可以修改域用户配置权限
的账号。
临时解决办法:
* 减少拥有帐号修改权限用户的数目
5、metafile漏洞
WMF是windows系统中16位的影像图元格式,它可以同时包含向量和点阵格式的图信息。
EMF是windows系统中32位的影像图元格式,它根据WMF改良扩充而来的。
最近发现window系统在解析这些图元格式的过程中存在一个缓冲溢出漏洞,恶意的攻击者
可以发送特殊构造的文件给用户,诱使用户点击从而达到攻击目的,成功利用该漏洞,攻击者可以
获得系统权限。
临时解决办法:
* 如果使用Outlook 2002或之后版本的话,或Outlook Express 6 SP1或之后版本的话,
以纯文本格式读取邮件消息以防范HTML邮件攻击。
6、帮助和支持中心漏洞
帮助和支持中心(HSC)是window中的帮助功能,可提供类似于是否需要下载安装更新软件等
各种帮助。HCP协议可以通过URL链接来开启帮助和支持中心功能,与能够通过标有http协议的
URL能够开启ie浏览器的功能非常相似。由于帮助和支持中心程序没有有效的检查通过HCP协议传
递来的信息,导致一个缓冲溢出漏洞存在。成功利用该漏洞,攻击者可以获得系统管理权限。
临时解决办法:
* 注销HCP协议
* 如果在使用Outlook 2000 SP1或更早版本的话,安装Outlook E-mail安全更新
* 如果使用Outlook 2002或之后版本的话,或Outlook Express 6 SP1或之后版本
的话,以纯文本格式读取邮件消息以防范HTML邮件攻击。
7、工具管理器漏洞
工具管理器程序让使用者可以检查辅助程序的状态(如放大镜、屏幕小键盘、语音朗
读等),并能启动和停止这些辅助程序。由于该管理器在启动辅助程序时使用了系统权限,所
以本地的用户可以利用该程序获得系统管理权限。
临时解决办法:
* 在所有受影响系统中使用软件策略在不需要的地方禁用工具管理器
8、Windows管理漏洞
windows管理方式是windowxp允许建立的一种工作模式,在某些特殊情况下,普通的用
户可以建立这种工作模式并以系统权限来运行,从而达到权限提升的目的。
临时解决办法:
* 删除受影响Windows管理接口(WMI)Provider
9、本地描述符列表漏洞
用来在本地描述符列表(Local Descriptor Table ,LDT)中建立项目的程序接口存
在一个权限提升漏洞,一个本地普通用户可以利用这个漏洞获得系统管理权限
临时解决办法:
无
10、H.323漏洞
H.323是一个ITU-T协议,它使基于数据包的系统能够进行多媒体通讯。它能够启动声
讯和图像会议系统,实现数据传输。windows在处理H.323协议时存在一个远程缓冲溢出漏洞,
成功利用该漏洞可以获得系统管理权限。
临时解决办法:
* 在防火墙阻断TCP 1720和TCP 1503的流入和流出通讯
11、虚拟DOS机漏洞
Windows内核支持的虚拟DOS机存在问题,本地攻击者可以利用这个漏洞提升权限。
问题存在于支持16位代码的虚拟DOS机中,通过使处理机在Virtual86模式没有对进
程进行初始化VDM就执行代码,在WIndows 2000内核中会引起废弃NULL指针,如果内存分配在
虚拟地址0实际。通过在VDM数据地址上提供特殊的数据,可能写内核内存中的任意内容,导致
权限提升。
临时解决办法:
无
12、协商SSP漏洞
windows提供多种安全验证方式,因此当一个用户登录服务器时必须与服务器对使
用的验证的方式进行协商,协商SSP接口就是提供这项功能的windows组件。最近发现在
ssp接口中存在未检查的缓冲区导致缓冲溢出攻击的可能。成功利用该漏洞可以获得系统管
理权限,但是大多数情况下,这个漏洞都会导致服务崩溃。
临时解决办法:
* 禁用“集成Windows验证”
* 禁止协商SSP
13、SSL漏洞 CAN-2004-0120 风险级别 高
微软安全套接层(Microsoft Secure Sockets Layer)函数库提供对安全通讯协议
的支持,这些协议包括Transport Layer Security 1.0 (TLS 1.0),
Secure Sockets Layer 3.0 (SSL 3.0),Secure Sockets Layer 2.0 (SSL 2.0), 和
Private Communication Technology 1.0 (PCT 1.0)协议。windows的SSL函数库没有
有效检查输入的数据,恶意的攻击者可以构造特殊的SSL请求,这些请求可能导致win2000和
winxp的SSL函数库停止响应,而在win2003中可能会导致系统重新启动。
临时解决办法:
* 在防火墙阻断443和636端口
14、ASN.1 “Double Free” 漏洞
微软的ASN.1函数库存在一个远程代码执行漏洞。造成这个漏洞的原因是ASN.1函
数库存在Double Free(多次释放内存空间)的可能,一个恶意的攻击者可以构造特殊的代码
利用该漏洞去释放系统内存中本来已经被多次释放的内存空间,从而破坏系统内存的结构。
攻击者可以放置恶意的执行代码到被破坏的内存空间中,在特定的硬件环境下这些代码
可能会被以系统权限运行。但是大多数情况下,这样只会导致系统拒绝服务。
临时解决办法:
无
微软已经针对这些漏洞发布了相关的安全公告和补丁程序
补丁下载:
winnt workstation 4.0 中文版+sp6补丁程序
winnt server 4.0 中文版+sp6补丁程序
window2000 中文版 +(sp1或sp2或sp3或sp4)补丁程序
winxp 中文版+sp1补丁程序
win2003 中文版补丁程序 |