Microsoft 安全公告 MS09-071 - 严重

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 使用 Internet 验证服务的服务器只在它们配置为 PEAP 与 MS-CHAP v2 验证一起使用时受到影响。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 在您的 Internet 验证服务服务器上将验证协议与 MS-CHAP v2（而不是 PEAP）一起使用

  变通办法的影响。 更改身份验证协议可能需要重新配置客户端。

此漏洞的影响范围有多大？  
这是一个远程执行代码漏洞。 成功利用此漏洞的攻击者可以完全远程控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

造成漏洞的原因是什么？  
此漏洞是由于 PEAP 验证请求验证不充分造成的。 在 IAS 服务器处理 PEAP 验证尝试期间，这可能会导致复制特定内存结构时出错。

什么是受保护的可扩展身份验证协议 (PEAP)?
受保护的可扩展身份验证协议 (PEAP) 是可扩展身份验证协议 ( EAP ) 家族协议的一名成员。 PEAP 使用传输层安全 (TLS) 来创建验证 PEAP 客户端（例如通过无线网络通信的移动计算机）和 PEAP 验证器（例如 Internet 验证服务 (IAS) 或远程身份验证拨号用户服务 (RADIUS) 服务器）之间的加密通道。 PEAP 不会指定验证方法，但可为其他的 EAP 验证协议提供附加安全，例如 EAP-MS-CHAP v2，这些协议可通过 PEAP 提供的 TLS 加密通道操作。 PEAP 可用作 802.1X 无线客户端计算机的验证方法，但不支持用于虚拟专用网络 (VPN) 或其他远程访问客户端。

什么是 Microsoft 质询握手身份验证协议版本 2 (MS-CHAP v2)?
MS-CHAP 使用质询/响应机制来验证连接，而不发送任何密码。 MS-CHAP v2 可提供相互身份验证，即生成了用于 Microsoft 点对点加密 (MPPE) 的更强大的初始数据加密密钥和用于传送和接收数据的其他加密密钥。 若要最大限度的降低密码更改期间的密码泄露风险，则不应包括对 MS-CHAP 密码更改的较早方法的支持。

MS-CHAP v2 是相互身份验证协议，这意味着客户端和服务器都要证明它们有用户密码的详细情况。 远程访问服务器首先通过向客户端发送质询来要求远程访问客户端提供证明。 然后，远程访问客户端通过向服务器发送回质询来要求远程访问服务器提供证明。 如果服务器无法通过正确回答客户端的质询来证明它拥有用户密码的详细情况，则客户端将终止连接。 若无相互身份验证，远程访问客户端将无法建立与非授权远程访问服务器的连接。

什么是 Internet 验证服务和网络策略服务器？  
在 Microsoft Windows 2000 Server 中，Internet 验证服务 (IAS) 指 Microsoft 对远程身份验证拨号用户服务 (RADIUS) 服务器的采用。 作为 RADIUS 服务器，IAS 可为各种类型的网络访问执行集中化连接验证，包括无线和虚拟专用网络 (VPN) 连接。 在 Microsoft Windows 2000 Server 上，由于 IAS 基于 Option Pack 版本之上，因此不支持 RADIUS 代理。

在 Windows Server 2003 上，Internet 验证服务 (IAS) 是 Microsoft 对远程身份验证拨号用户服务 (RADIUS) 服务器和代理的采用。 作为 RADIUS 服务器，IAS 可为各种类型的网络访问执行集中化连接验证，包括无线和虚拟专用网络 (VPN) 连接。 作为 RADIUS 代理，IAS 可将验证和计帐信息转发到其他 RADIUS 服务器。

网络策略服务器 (NPS) 是 Microsoft 在 Windows Server 2008 内对远程身份验证拨号用户服务 (RADIUS) 服务器和代理的采用。在 Windows Server 2003 中，NPS 替代了 Internet 验证服务 (IAS)。

Internet 验证服务和网络策略服务器都暴露了受此漏洞影响的 PEAP MS-CHAP v2 代码。

为什么在 Windows 操作系统客户端上，该漏洞的严重等级为“重要”？  
Windows 操作系统客户端包含容易受到攻击的 MS-CHAP v2 代码，但是所包含的充当操作系统一部分的组件都不会以一种可能披露漏洞的方式使用该代码。 理论上，使用 MS-CHAP v2 支持身份验证的第三方应用程序可能使系统容易受到攻击。 由于客户端不旨在提供这类功能，因此这是一种不可能的情形。 但是，Microsoft 正在客户端平台上推出一种作为本安全公告一部分的更新，它可解决根本原因。

为什么在 Windows Server 2008（用于基于 Itanium 的系统）上，该漏洞的严重等级为“重要”？  
Windows Server 2008（用于基于 Itanium 的系统）不允许安装 Internet 验证服务. 然而，计算机上存在易受攻击的二进制代码。 理论上，使用 MS-CHAP v2 支持身份验证的第三方应用程序可能使系统容易受到攻击。 由于这些服务器不提供这类功能，此情形不太可能发生。 但是，Microsoft 提供作为此安全公告一部分的一个更新，在 Windows Server 2008（用于基于 Itanium 的系统）上解决根本原因。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可以使用管理员特权运行任意代码。 攻击者可随后安装程序；查看、更改或删除数据；或者创建新帐户。

攻击者如何利用此漏洞？  
攻击者可能会利用此漏洞，将格式不正确的 PEAP 验证请求发送到 IAS 服务器。

受此漏洞威胁最大的系统有哪些？  
允许不受信任的远程用户执行验证的 Internet 验证服务受此漏洞的威胁最大。

此更新有什么作用？  
此更新可更改 IAS ，以便正确地验证 MS-CHAP v2 验证请求。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击用户的信息。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 使用 Internet 验证服务的服务器只在它们配置为 PEAP 与 MS-CHAP v2 验证一起使用时受到影响。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 在您的 Internet 验证服务服务器上将验证协议与 MS-CHAP v2（而不是 PEAP）一起使用

  变通办法的影响。 更改身份验证协议可能需要重新配置客户端计算机。

此漏洞的影响范围有多大？  
这是一个特权提升漏洞。 成功利用此漏洞的攻击者可能会访问特定授权用户权限范围内的网络资源。

造成漏洞的原因是什么？  
此漏洞是由 Internet 验证服务对 MS-CHAP v2 验证请求的不正确验证造成的。 即使可能已经提供不正确的凭据，这仍会导致服务器将验证请求视为有效，

什么是受保护的可扩展身份验证协议 (PEAP)?
受保护的可扩展身份验证协议 (PEAP) 是可扩展身份验证协议 ( EAP ) 家族协议的一名成员。 PEAP 使用传输层安全 (TLS) 来创建验证 PEAP 客户端（例如通过无线网络通信的移动计算机）和 PEAP 验证器（例如 Internet 验证服务 (IAS) 或远程身份验证拨号用户服务 (RADIUS) 服务器）之间的加密通道。 PEAP 不会指定验证方法，但可为其他的 EAP 验证协议提供附加安全，例如 EAP-MS-CHAP v2，这些协议可通过 PEAP 提供的 TLS 加密通道操作。 PEAP 可用作 802.1X 无线客户端计算机的验证方法，但不支持用于虚拟专用网络 (VPN) 或其他远程访问客户端。

什么是 Microsoft 质询握手身份验证协议版本 2 (MS-CHAP v2)?
MS-CHAP 使用质询/响应机制来验证连接，而不发送任何密码。 MS-CHAP v2 可提供相互身份验证，即生成了用于 Microsoft 点对点加密 (MPPE) 的更强大的初始数据加密密钥和用于传送和接收数据的其他加密密钥。 若要最大限度的降低密码更改期间的密码泄露风险，则不应包括对 MS-CHAP 密码更改的较早方法的支持。

MS-CHAP v2 是相互身份验证协议，这意味着客户端和服务器都要证明它们有用户密码的详细情况。 远程访问服务器首先通过向客户端发送质询来要求远程访问客户端提供证明。 然后，远程访问客户端通过向服务器发送回质询来要求远程访问服务器提供证明。 如果服务器无法通过正确回答客户端的质询来证明它拥有用户密码的详细情况，则客户端将终止连接。 若无相互身份验证，远程访问客户端将无法建立与非授权远程访问服务器的连接。

什么是 Internet 验证服务和网络策略服务器？  
在 Microsoft Windows 2000 Server 中，Internet 验证服务 (IAS) 指 Microsoft 对远程身份验证拨号用户服务 (RADIUS) 服务器的采用。 作为 RADIUS 服务器，IAS 可为各种类型的网络访问执行集中化连接验证，包括无线和虚拟专用网络 (VPN) 连接。 在 Microsoft Windows 2000 Server 上，由于 IAS 基于 Option Pack 版本之上，因此不支持 RADIUS 代理。

在 Windows Server 2003 上，Internet 验证服务 (IAS) 是 Microsoft 对远程身份验证拨号用户服务 (RADIUS) 服务器和代理的采用。 作为 RADIUS 服务器，IAS 可为各种类型的网络访问执行集中化连接验证，包括无线和虚拟专用网络 (VPN) 连接。 作为 RADIUS 代理，IAS 可将验证和计帐信息转发到其他 RADIUS 服务器。

网络策略服务器 (NPS) 是 Microsoft 在 Windows Server 2008 内对远程身份验证拨号用户服务 (RADIUS) 服务器和代理的采用。在 Windows Server 2003 中，NPS 替代了 Internet 验证服务 (IAS)。

Internet 验证服务和网络策略服务器都暴露了受此漏洞影响的 PEAP MS-CHAP v2 代码。

为什么 Windows 操作系统客户端上漏洞的严重性是中等的？  
Windows 操作系统客户端包含容易受到攻击的 MS-CHAP v2 代码，但是所包含的充当操作系统一部分的组件都不会以一种可能披露漏洞的方式使用该代码。 理论上，使用 MS-CHAP v2 支持身份验证的第三方应用程序可能使系统容易受到攻击。 由于客户端不旨在提供这类功能，因此这是一种不可能的情形。 但是，Microsoft 正在客户端操作系统上推出一种作为本安全公告一部分的更新，它可解决根本原因。

为什么在 Windows Server 2008（用于基于 Itanium 的系统）上，该漏洞的严重等级为“中等”？  
Windows Server 2008（用于基于 Itanium 的系统）不允许安装 Internet 验证服务. 然而，计算机上存在易受攻击的二进制代码。 理论上，使用 MS-CHAP v2 支持身份验证的第三方应用程序可能使系统容易受到攻击。 由于这些服务器不提供这类功能，此情形不太可能发生。 但是，Microsoft 提供作为此安全公告一部分的一个更新，在 Windows Server 2008（用于基于 Itanium 的系统）上解决根本原因。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可能会访问特定授权用户权限范围内的网络资源。 请注意，根据由网络管理的应用程序的身份验证要求，用户不可以直接访问特定的数据或信息。

攻击者如何利用此漏洞？  
攻击者可能利用此漏洞，将格式不正确的 MS-CHAP v2 验证请求发送到 Internet 验证服务。

受此漏洞威胁最大的系统有哪些？  
通过 Internet 验证服务向外部用户提供网络资源访问权的系统尤其易受此漏洞影响。

此更新有什么作用？  
此更新可通过更改 IAS 消除此漏洞，以便正确地验证 MS-CHAP v2 验证请求。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击用户的信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

注意 对于受支持版本 Windows XP Professional x64 Edition，此安全更新与受支持版本 Windows Server 2003 x64 Edition 的安全更新相同。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。