Microsoft 安全公告 MS09-022 - 严重

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 采用防火墙最佳做法和标准的默认防火墙配置，有助于保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 在防火墙处阻止 TCP 端口 139 和 445

  这些端口用于启动与受影响组件的连接。 将 TCP 端口 139 和 445 阻止在防火墙处，有助于保护位于防火墙后面的系统尝试利用此漏洞。 Microsoft 建议阻塞所有来自 Internet 的未经请求的入站通信，以帮助阻止可能使用其他端口进行的攻击。 有关端口的详细信息，请参阅 TCP 和 UDP 端口分配。

  变通办法的影响。 许多 Windows 服务使用受影响的端口。 阻止与端口进行连接可能导致各种应用程序或服务无法正常运行。 以下列出了可能受到影响的某些应用程序或服务：

  • 使用 SMB（CIFS）的应用程序
  • 使用邮件槽或命名管道 (RPC over SMB) 的应用程序
  • 服务器（文件和打印共享）
  • 组策略
  • Net Logon
  • 分布式文件系统 (DFS)
  • 终端服务器授权
  • 打印后台处理程序
  • 计算机浏览器
  • 远程过程调用定位器
  • 传真服务
  • 索引服务
  • 性能日志和警报
  • Systems Management Server
  • 许可证记录服务
• 在 Microsoft Windows 2000 Server Service Pack 4 上，从 NullSessionPipes 注册表项中删除 Print Spooler 服务

  Microsoft Windows 2000 Server Service Pack 4 允许匿名连接到受影响的服务。 为帮助阻止匿名攻击者尝试利用此漏洞，从 NullSessionPipes 注册表子项中删除 Print Spooler 服务。 此变通办法不将阻止来自经过身份验证的用户的攻击。 如果无法禁用 Printer Spooler 服务，则使用此变通方法。

  警告 如果注册表编辑器使用不当，则可能导致严重的问题，也许会要求您重新安装操作系统。 Microsoft 不保证能够解决因注册表编辑器使用不当而导致的问题。 使用注册表编辑器的风险由您自己承担。 有关如何修改注册表的信息，请查看注册表编辑器 (Regedit.exe) 中的“更改项和值”帮助主题，或查看 Regedt32.exe 中的“在注册表中添加和删除信息”和“编辑注册表数据”帮助主题。

  注意 我们建议在修改注册表之前先对其进行备份。

  1. 单击“开始”，单击“运行”，键入 regedt32，然后单击“确定”。
  2. 在注册表编辑器中，找到以下注册表项：
     
     HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\NullSessionPipes
  3. 编辑该注册表项，并删除 SPOOLSS 值。
  4. 执行这些操作之后重新启动受影响的系统。

  变通办法的影响。 不允许匿名连接至 Print Spooler 服务。 这是更高操作系统版本的默认行为。

• 禁用 Print Spooler 服务

  禁用 Print Spooler 服务将帮助防止受影响的系统尝试利用此漏洞。 若要禁用 Print Spooler 服务，请按照以下步骤操作：

  1. 单击“开始”，然后单击“控制面板”。 或者，指向“设置”，然后单击“控制面板”。
  2. 双击“管理工具”。
  3. 双击“服务”。
  4. 双击“Print Spooler”。
  5. 在“启动类型”列表中，单击“禁用”。
  6. 单击“停止”，然后单击“确定”。

  您还可以通过在命令提示符处使用以下命令来停止和禁用 Print Spooler 服务：

  sc stop Spooler & sc config Spooler start=disabled

  变通办法的影响。 如果您禁用了 Print Spooler 服务，您不能本地或远程打印。 因此，建议仅在不需要打印的系统上使用此变通方法。

  如何撤消变通方法。

  若要启用 Print Spooler 服务，请按照以下步骤操作：

  1. 单击“开始”，然后单击“控制面板”。 或者，指向“设置”，然后单击“控制面板”。
  2. 双击“管理工具”。
  3. 双击“服务”。
  4. 双击“Print Spooler”。
  5. 在“启动类型”列表中，单击“自动”。
  6. 单击“开始”，然后单击“确定”。

此漏洞的影响范围有多大？  
这是一个远程执行代码漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建新帐户。

造成漏洞的原因是什么？  
Windows 打印后台处理程序包含由于未正确分析特定打印数据结构而导致的缓冲区溢出。

什么是 Print Spooler 服务？  
Print Spooler 服务是作为服务安装的可执行文件。 当操作系统启动时加载后台处理程序，它将持续运行，直到操作系统关闭。 Print Spooler 服务管理打印进程，包括检索正确的打印机驱动程序位置、加载该驱动程序、后台处理高级级函数调用至打印作业以及计划打印作业等任务。 当某个特定打印作业的任务完成时，Print Spooler 服务将把此作业传给打印路由器。 有关详细信息，请参阅 TechNet 文章“网络打印的工作原理”。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者能够使用系统特权在用户系统上运行恶意代码。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建新帐户。

攻击者如何利用此漏洞？  
为进行远程执行代码，攻击者首先需要设置受影响的系统可以访问的恶意打印服务器。 然后，攻击者可能会将特制的 RPC 请求发送至受影响的系统，从而导致受影响的系统在枚举期间不正确地分析攻击者打印服务器上的 ShareName。 这会允许攻击者以系统级特权在受影响的系统上远程执行代码。

受此漏洞威胁最大的系统有哪些？  
工作站和终端服务器受到的威胁最大。 如果管理员允许用户登录服务器并运行程序，服务器可能面临更大风险。 不过，最佳做法是不要授予这样的权限。

此更新有什么作用？  
此更新通过更改打印后台处理程序分析特定打印数据结构的方式，来解决此漏洞。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开披露的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 攻击者必须拥有有效的登录凭据并能本地登录才能利用此漏洞。 匿名用户无法利用此漏洞，也无法以远程方式利用此漏洞。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 禁用 Print Spooler 服务

  禁用 Print Spooler 服务将帮助防止受影响的系统尝试利用此漏洞。 若要禁用 Print Spooler 服务，请按照以下步骤操作：

  1. 单击“开始”，然后单击“控制面板”。 或者，指向“设置”，然后单击“控制面板”。
  2. 双击“管理工具”。
  3. 双击“服务”。
  4. 双击“Print Spooler”。
  5. 在“启动类型”列表中，单击“禁用”。
  6. 单击“停止”，然后单击“确定”。

  您还可以通过在命令提示符处使用以下命令来停止和禁用 Print Spooler 服务：

  sc stop Spooler & sc config Spooler start=disabled

  变通办法的影响。 如果您禁用了 Print Spooler 服务，您不能本地或远程打印。 因此，建议仅在不需要打印的系统上使用此变通方法。

  如何撤消变通方法。

  若要启用 Print Spooler 服务，请按照以下步骤操作：

  1. 单击“开始”，然后单击“控制面板”。 或者，指向“设置”，然后单击“控制面板”。
  2. 双击“管理工具”。
  3. 双击“服务”。
  4. 双击“Print Spooler”。
  5. 在“启动类型”列表中，单击“自动”。
  6. 单击“开始”，然后单击“确定”。

此漏洞的影响范围有多大？  
这是一个信息泄露漏洞。 成功利用此漏洞的攻击者可以读取或打印系统上的任何文件。 即使用户没有管理访问权，也可以采取此措施。

造成漏洞的原因是什么？  
Windows 打印服务未正确检查分隔页随附的文件。

什么是 Print Spooler 服务？  
Print Spooler 服务是作为服务安装的可执行文件。 当操作系统启动时加载后台处理程序，它将持续运行，直到操作系统关闭。 Print Spooler 服务管理打印进程，包括检索正确的打印机驱动程序位置、加载该驱动程序、后台处理高级级函数调用至打印作业以及计划打印作业等任务。 当某个特定打印作业的任务完成时，Print Spooler 服务将把此作业传给打印路由器。 有关详细信息，请参阅 TechNet 文章“网络打印的工作原理”。

什么是分隔页？  
分隔页或标题页通常说明谁将文件发送至打印机及提供打印日期和时间。 您可以使用标准分隔页之一或创建自定义页。 Windows 提供了三个分隔页文件，位于 %systemroot%\System32 文件夹中。 有关详细信息，请参阅 TechNet 文章使用分隔页。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可以读取或打印受影响系统上的任何文件。 攻击者无法更改文件目录。

攻击者如何利用此漏洞？  
要利用此漏洞，攻击者必须先登录到系统。 然后，攻击者可能会创建特制分隔页，其中包含该攻击者想要包括在打印请求中的系统中的任何文件。

在 Microsoft Windows 的所有版本上，攻击者需要“管理打印机”特权才能利用此漏洞。 在 Windows Vista 和 Windows Server 2008 上，如果本地用户安装了本地打印机，系统会自动为该用户提供此权限。 如果在默认情况下已包括打印机驱动程序，则在没有管理特权的情况下也可以完成此操作。

受此漏洞威胁最大的系统有哪些？  
工作站和终端服务器受到的威胁最大。 如果管理员允许用户登录服务器并运行程序，服务器可能面临更大风险。 不过，最佳做法是不要授予这样的权限。

此更新有什么作用？  
此更新通过限制 Windows 打印服务将读取分隔页和嵌入的文件的位置，来解决此漏洞。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开披露的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 采用防火墙最佳做法和标准的默认防火墙配置，有助于保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。
• 仅经过身份验证的用户可以触发此漏洞。 只有当用户可以通过远程系统的身份验证时，才会触发此漏洞。 但是，如果启用了来宾帐户，则来宾用户也可以触发此漏洞。
• 在 Microsoft Windows 的所有版本上，攻击者需要“管理打印机”特权才能利用此漏洞。 在 Microsoft Windows Vista 和 Windows Server 2008 上，如果本地用户安装了本地打印机，系统会自动为该用户提供此权限。 如果在默认情况下已包括打印机驱动程序，则在没有管理特权的情况下也可以完成此操作。

Microsoft 并未发现此漏洞的任何变通办法。

此漏洞的影响范围有多大？  
这是一个特权提升漏洞。 成功利用此漏洞的攻击者可执行任意代码，并可完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

造成漏洞的原因是什么？  
Windows 打印后台处理程序未正确验证可能会从中加载 DLL 的路径。

什么是 Print Spooler 服务？  
Print Spooler 服务是作为服务安装的可执行文件。 当操作系统启动时加载后台处理程序，它将持续运行，直到操作系统关闭。 Print Spooler 服务管理打印进程，包括检索正确的打印机驱动程序位置、加载该驱动程序、后台处理高级级函数调用至打印作业以及计划打印作业等任务。 当某个特定打印作业的任务完成时，Print Spooler 服务将把此作业传给打印路由器。 有关详细信息，请参阅 TechNet 文章“网络打印的工作原理”。

什么是 DLL？  
动态链接库 (DLL) 是一个模块，其中包含其他模块（应用程序或 DLL）可以使用的函数和数据。 DLL 可以定义两类函数： 导出的函数和内部函数。 导出的函数往往由其他模块调用，以及从定义这些函数的 DLL 中被调用。 内部函数通常仅从定义这些函数的 DLL 中被调用。 虽然 DLL 可以导出数据，但是其数据通常仅由其函数使用。 但是，没有什么可阻止其他模块读取或写入该地址。 DLL 提供了一种模块化应用程序的方式，这样可以更轻松地更新和重新使用其功能。 DLL 还可以在许多应用程序同时使用相同的功能时帮助减少内存开销，原因在于虽然每个应用程序收到其自身的 DLL 数据副本，但是应用程序会共享 DLL 代码。 有关详细信息，请参阅 MSDN 文章“动态链接库”。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可能使用与 Windows 打印后台处理程序相同的权限运行任意代码。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

攻击者如何利用此漏洞？  
若要利用此漏洞，攻击者必须将恶意 DLL 存储在打印后台处理程序可以访问的位置中。 然后，攻击者可以创建特制的 RPC 消息并将该消息发送至受影响的系统。 该消息会导致打印后台处理程序加载恶意 DLL，并使用提升的特权执行代码。

在 Microsoft Windows 的所有版本上，攻击者需要“管理打印机”特权才能利用此漏洞。 在 Windows Vista 和 Windows Server 2008 上，如果本地用户安装了本地打印机，系统会自动为该用户提供此权限。 如果在默认情况下已包括打印机驱动程序，则在没有管理特权的情况下也可以完成此操作。

受此漏洞威胁最大的系统有哪些？  
配置为打印服务器的系统受此漏洞的威胁最大。

此更新有什么作用？  
此更新通过限制打印后台处理程序可以从中加载 DLL 的路径，来解决此漏洞。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开披露的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

注意 对于受支持版本 Windows XP Professional x64 Edition，此安全更新与受支持版本 Windows Server 2003 x64 Edition 的安全更新相同。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。