Microsoft 安全公告 MS09-048 - 严重

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 采用防火墙最佳做法和标准的默认防火墙配置，有助于保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。
• 在 Windows Vista 中，如果网络配置文件设置为“公共”，则系统不受此漏洞的影响，因为非法入站网络数据包默认被阻止。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 为帮助防止攻击者试图基于网络利用此漏洞，请在支持高级 TCP/IP 筛选功能的系统上启用此功能

  可以启用高级 TCP/IP 筛选功能来阻止所有非法入站通信。 有关如何配置 TCP/IP 筛选功能的详细信息，请参阅 Microsoft 知识库文章 309798。

• 为帮助防止攻击者试图基于网络利用此漏洞，请使用个人防火墙，例如 Internet 连接防火墙

  Windows Vista 的所有受支持版本均会附带提供 Windows Firewall 防火墙，它是一个已自动启用的双向防火墙。

  对于 Windows Server 2003 的所有受支持版本，请使用 Internet 连接防火墙功能阻止未经请求的传入流量，从而帮助保护您的 Internet 连接。 Microsoft 建议您阻止所有来自 Internet 的非法传入通信。

  要使用网络安装向导启用 Windows 防火墙功能，请按照以下步骤进行操作：

  1. 单击“开始”，然后单击“控制面板”。
  2. 双击“网络连接”，然后单击“更改 Window 防火墙设置”。
  3. 在“常规”选项卡上，确保选择了“启用（推荐）”。 这将启用 Windows 防火墙。
  4. 启用 Windows 防火墙之后，请选择“不允许例外”以阻止所有传入的通信。

  对于 Windows Server 2003 系统，请使用下列步骤手动配置某个连接的 Internet 连接防火墙：

  1. 单击“开始”，然后单击“控制面板”。
  2. 在默认的“分类视图”中，单击“网络和 Internet 连接”，然后单击“网络连接”。
  3. 右键单击要启用“Internet 连接防火墙”的连接，然后单击“属性”。
  4. 单击“高级”选项卡。
  5. 单击以选中“通过限制或阻止来自 Internet 的对此计算机的访问来保护我的计算机或网络”复选框，然后单击“确定”。

  注意 如果要通过防火墙启用某些程序和服务以进行通信，请单击“高级”选项卡上的“设置”，然后选择所需的程序、协议和服务。

此漏洞的影响范围有多大？  
这是一个拒绝服务漏洞。 利用此漏洞的攻击者可能会导致受影响系统停止响应。 请注意，虽然攻击者无法利用拒绝服务漏洞来执行代码或提升他们的用户权限，但此漏洞可能导致受影响的系统停止接受请求。

造成漏洞的原因是什么？  
漏洞的存在是因为 Windows TCP/IP 堆栈不能正确处理大量已建立的 TCP 连接。 如果这些已建立的连接被远程系统滥用，请求数据并将 TCP 接收窗口尺寸设置得很小或为零，那么拒绝服务的情况可能被扩大。 攻击者还可通过向服务器发送 ACK 数据包使 TCP 连接保持活动。 大量的这种恶意连接可能消耗服务器资源，并阻止服务器响应合法的连接。

什么是 TCP/IP？  
TCP/IP 是一套在 Internet 上广泛应用的网络协议。 TCP/IP 在相互连接的计算机网络间提供通信，这些计算机有着不同的硬件结构并运行了不同的操作系统。 TCP/IP 包含了计算机通信的标准及网络连接和路由通信的惯例。 有关 TCP/IP 的详细信息，请参阅 TechNet 文章网络和 TCP/IP 概述。

什么是 TCP 接收窗口尺寸？  
传输控制协议 (TCP) 接收窗口尺寸是在连接的接收方一次可缓冲的最大接收数据量，以字节为单位。 发送主机只能发送该数量的数据，然后必须等待接收主机的确认和窗口更新。 将 TCP 接收窗口大小设置为零将使连接保持活动，但无法传递任何数量的额外数据，直到增加窗口大小。 有关 TCP 接收窗口大小选项的详细信息，请参阅 MSDN 文章 TCP 接收窗口大小和窗口缩放。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可能导致受影响的系统无响应。

攻击者如何利用此漏洞？  
攻击者可以通过使系统具有大量 TCP 连接并使其无限期保持活动，或者通过发送特制的数据包，其中 TCP 接收窗口大小设置得很小或为零来利用此漏洞。

受此漏洞威胁最大的系统有哪些？  
这一漏洞对所有受影响的操作系统都构成威胁。 但是，由于服务器较有可能具有监听网络的服务，所以服务器最容易受到此漏洞的威胁。 维护长会话或具有可预测 TCP/IP 信息的协议或程序面临利用该漏洞的风险较高。

此更新有什么作用？  
此更新解决漏洞的方法是适应性丢弃现有的 TCP 连接并限制新建 TCP 连接数量直至系统资源得以恢复。

发布此安全公告时，此漏洞是否已公开披露？  
在通过可靠的披露渠道提供初始报告的同时，后来某一独立方公开披露了此漏洞。 此安全公告解决了公开披露的漏洞以及通过内部调查发现的其他问题。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 采用防火墙最佳做法和标准的默认防火墙配置，有助于保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。
• 在 Windows Vista 中，如果网络配置文件设置为“公共”，则系统不受此漏洞的影响，因为非法入站网络数据包默认被阻止。
• Windows Server 2003 不受此漏洞的影响。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 为帮助防止攻击者试图基于网络利用此漏洞，请在支持高级 TCP/IP 筛选功能的系统上启用此功能

  可以启用高级 TCP/IP 筛选功能来阻止所有非法入站通信。 有关如何配置 TCP/IP 筛选功能的详细信息，请参阅 Microsoft 知识库文章 309798。

• 为帮助防止攻击者试图基于网络利用此漏洞，请使用个人防火墙，例如 Internet 连接防火墙

  Windows Vista 的所有受支持版本均会附带提供 Windows Firewall 防火墙，它是一个已自动启用的双向防火墙。

  要使用网络安装向导启用 Windows 防火墙功能，请按照以下步骤进行操作：

  1. 单击“开始”，然后单击“控制面板”。
  2. 双击“网络连接”，然后单击“更改 Window 防火墙设置”。
  3. 在“常规”选项卡上，确保选择了“启用（推荐）”。 这将启用 Windows 防火墙。
  4. 启用 Windows 防火墙之后，请选择“不允许例外”以阻止所有传入的通信。

  注意 如果要通过防火墙启用某些程序和服务以进行通信，请单击“高级”选项卡上的“设置”，然后选择所需的程序、协议和服务。

此漏洞的影响范围有多大？  
这是一个远程执行代码漏洞。 成功利用此漏洞的攻击者可以使用提升的特权在容易受攻击的系统上运行任意代码。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

造成漏洞的原因是什么？  
此漏洞是由于 Windows TCP/IP 堆栈未能正确清理状态信息造成的。 此漏洞导致 TCP/IP 堆栈引用一个字段作为函数指针，但它实际上包含其他信息。

什么是 TCP/IP？  
TCP/IP 是一套在 Internet 上广泛应用的网络协议。 TCP/IP 在相互连接的计算机网络间提供通信，这些计算机有着不同的硬件结构并运行了不同的操作系统。 TCP/IP 包含了计算机通信的标准及网络连接和路由通信的惯例。 有关 TCP/IP 的详细信息，请参阅 TechNet 文章网络和 TCP/IP 概述。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可以运行任意代码。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

攻击者如何利用此漏洞？  
攻击者可能通过创建特制的网络数据包并将其发送到受影响的系统上的监听服务来试图利用此漏洞。

受此漏洞威胁最大的系统有哪些？  
这一漏洞对所有受影响的操作系统都构成威胁。 但是，由于服务器较有可能具有监听网络的服务，所以服务器最容易受到此漏洞的威胁。 维护长会话或具有可预测 TCP/IP 信息的协议或程序出现此问题的风险较高。

此更新有什么作用？  
该更新通过更正处理 TCP/IP 数据包的方式来解决该漏洞。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开披露的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 采用防火墙最佳做法和标准的默认防火墙配置，有助于保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。
• 在 Windows Vista 中，如果网络配置文件设置为“公共”，则系统不受此漏洞的影响，因为非法入站网络数据包默认被阻止。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 为帮助防止攻击者试图基于网络利用此漏洞，请在支持高级 TCP/IP 筛选功能的系统上启用此功能

  可以启用高级 TCP/IP 筛选功能来阻止所有非法入站通信。 有关如何配置 TCP/IP 筛选功能的详细信息，请参阅 Microsoft 知识库文章 309798。

• 为帮助防止攻击者试图基于网络利用此漏洞，请使用个人防火墙，例如 Internet 连接防火墙

  Windows Vista 的所有受支持版本均会附带提供 Windows Firewall 防火墙，它是一个已自动启用的双向防火墙。

  对于 Windows Server 2003 的所有受支持版本，请使用 Internet 连接防火墙功能阻止未经请求的传入流量，从而帮助保护您的 Internet 连接。 Microsoft 建议您阻止所有来自 Internet 的非法传入通信。

  要使用网络安装向导启用 Windows 防火墙功能，请按照以下步骤进行操作：

  1. 单击“开始”，然后单击“控制面板”。
  2. 双击“网络连接”，然后单击“更改 Window 防火墙设置”。
  3. 在“常规”选项卡上，确保选择了“启用（推荐）”。 这将启用 Windows 防火墙。
  4. 启用 Windows 防火墙之后，请选择“不允许例外”以阻止所有传入的通信。

  对于 Windows Server 2003 系统，请使用下列步骤手动配置某个连接的 Internet 连接防火墙：

  1. 单击“开始”，然后单击“控制面板”。
  2. 在默认的“分类视图”中，单击“网络和 Internet 连接”，然后单击“网络连接”。
  3. 右键单击要启用“Internet 连接防火墙”的连接，然后单击“属性”。
  4. 单击“高级”选项卡。
  5. 单击以选中“通过限制或阻止来自 Internet 的对此计算机的访问来保护我的计算机或网络”复选框，然后单击“确定”。

  注意 如果要通过防火墙启用某些程序和服务以进行通信，请单击“高级”选项卡上的“设置”，然后选择所需的程序、协议和服务。

此漏洞的影响范围有多大？  
这是一个拒绝服务漏洞。 利用此漏洞的攻击者可能会导致受影响系统停止响应。 请注意，虽然攻击者无法利用拒绝服务漏洞来执行代码或提升他们的用户权限，但此漏洞可能导致受影响的系统停止接受请求。

造成漏洞的原因是什么？  
此漏洞是由于在某些条件下 Windows TCP/IP 堆栈允许连接在 FIN-WAIT-1 或 FIN-WAIT-2 状态下无限期挂起造成的。

什么是 TCP/IP？  
TCP/IP 是一套在 Internet 上广泛应用的网络协议。 TCP/IP 在相互连接的计算机网络间提供通信，这些计算机有着不同的硬件结构并运行了不同的操作系统。 TCP/IP 包含了计算机通信的标准及网络连接和路由通信的惯例。 有关 TCP/IP 的详细信息，请参阅 TechNet 文章网络和 TCP/IP 概述。

什么是 FIN-WAIT-1 和 FIN-WAIT-2 状态？  
TCP 连接在客户端与服务器之间的事务期间会经过一系列不同的状态。 FIN-WAIT-1 状态代表系统等待来自远程 TCP 的连接终止请求，或之前发送的连接终止请求的确认。 FIN-WAIT-2 状态代表系统等待来自远程 TCP 的连接终止请求。 有关详细信息，请参阅 RFC 793。

什么是 TCP 接收窗口尺寸？  
传输控制协议 (TCP) 接收窗口尺寸是在连接的接收方一次可缓冲的最大接收数据量，以字节为单位。 发送主机只能发送该数量的数据，然后必须等待接收主机的确认和窗口更新。 将 TCP 接收窗口大小设置为零将使连接保持活动，但无法传递任何数量的额外数据，直到增加窗口大小。 有关 TCP 接收窗口大小选项的详细信息，请参阅 MSDN 文章 TCP 接收窗口大小和窗口缩放。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可能导致受影响的系统无响应。

攻击者如何利用此漏洞？  
攻击者可以通过向系统发送大量旨在使 TCP 连接状态无限期保持在 FIN-WAIT-1 或 FIN-WAIT-2 状态的特制连接来利用此漏洞。

受此漏洞威胁最大的系统有哪些？  
这一漏洞对所有受影响的操作系统都构成威胁。 但是，由于服务器较有可能具有监听网络的服务，所以服务器最容易受到此漏洞的威胁。 维护长会话或具有可预测 TCP/IP 信息的协议或程序出现此问题的风险较高。

此更新有什么作用？  
此更新解决漏洞的方法是适应性丢弃现有的 TCP 连接并限制新建 TCP 连接数量直至系统资源得以恢复。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开披露的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。