Microsoft 安全公告 MS10-012 - 重要

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 在 Windows Vista 和 Windows 7 中，如果网络配置文件设置为“公共”，则系统不受此漏洞的影响，因为非法入站网络数据包默认被阻止。
• 采用防火墙最佳做法和标准的默认防火墙配置，有助于保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。 在这种情况下，应阻止从 Internet 访问 SMB 端口。
• 攻击者必须拥有有效的登录凭据才能利用此漏洞。 匿名用户无法利用此漏洞。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 在防火墙处阻止 TCP 端口 139 和 445

  这些端口用于启动与受影响组件的连接。 将 TCP 端口 139 和 445 阻止在防火墙处，有助于保护位于防火墙后面的系统尝试利用此漏洞。 Microsoft 建议阻塞所有来自 Internet 的未经请求的入站通信，以帮助阻止可能使用其他端口进行的攻击。 有关端口的详细信息，请参阅 TechNet 文章 TCP 和 UDP 端口分配。

  变通办法的影响。 许多 Windows 服务使用受影响的端口。 阻止与端口进行连接可能导致各种应用程序或服务无法正常运行。 以下列出了可能受到影响的某些应用程序或服务：

  • 使用 SMB（CIFS）的应用程序
  • 使用邮件槽或命名管道 (RPC over SMB) 的应用程序
  • 服务器（文件和打印共享）
  • 组策略
  • Net Logon
  • 分布式文件系统 (DFS)
  • 终端服务器授权
  • 打印后台处理程序
  • 计算机浏览器
  • 远程过程调用定位器
  • 传真服务
  • 索引服务
  • 性能日志和警报
  • Systems Management Server
  • 许可证记录服务

  如何撤消变通方法。 在防火墙处解除对 TCP 端口 139 和 445 的阻止 有关端口的详细信息，请参阅 TCP 和 UDP 端口分配。

此漏洞的影响范围有多大？  
这是一个远程执行代码漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

造成漏洞的原因是什么？  
漏洞由 Microsoft 服务器消息块 (SMB) 实施在格式错误的 SMB 请求中不正确地验证字段导致。

什么是 Microsoft 服务器消息块 (SMB) 协议？  
Microsoft 服务器消息块 (SMB) 协议是 Microsoft Windows 中使用的一项 Microsoft 网络文件共享协议。 有关 SMB 的详细信息，请参阅 Microsoft SMB 协议和 CIFS 协议概述。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可以完全控制受影响的系统。

攻击者如何利用此漏洞？  
攻击者可能通过创建特制的 SMB 数据包并将其发送到受影响的系统来试图利用此漏洞。

受此漏洞威胁最大的系统有哪些？  
带有 SMB 服务器服务的所有系统均会受此漏洞影响。 域控制器受此漏洞的威胁更大，由于这些系统默认情况下向所有域用户开放网络共享。

此更新有什么作用？  
通过纠正 SMB 在格式错误的 SMB 请求中验证字段的方法，此更新解决了漏洞。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击用户的信息。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 在 Windows Vista 和 Windows 7 中，如果网络配置文件设置为“公共”，则系统不受此漏洞的影响，因为非法入站网络数据包默认被阻止。
• 采用防火墙最佳做法和标准的默认防火墙配置，有助于保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。 在这种情况下，应阻止从 Internet 访问 SMB 端口。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 在防火墙处阻止 TCP 端口 139 和 445

  这些端口用于启动与受影响组件的连接。 将 TCP 端口 139 和 445 阻止在防火墙处，有助于保护位于防火墙后面的系统尝试利用此漏洞。 Microsoft 建议阻塞所有来自 Internet 的未经请求的入站通信，以帮助阻止可能使用其他端口进行的攻击。 有关端口的详细信息，请参阅 TechNet 文章 TCP 和 UDP 端口分配。

  变通办法的影响。 许多 Windows 服务使用受影响的端口。 阻止与端口进行连接可能导致各种应用程序或服务无法正常运行。 以下列出了可能受到影响的某些应用程序或服务：

  • 使用 SMB（CIFS）的应用程序
  • 使用邮件槽或命名管道 (RPC over SMB) 的应用程序
  • 服务器（文件和打印共享）
  • 组策略
  • Net Logon
  • 分布式文件系统 (DFS)
  • 终端服务器授权
  • 打印后台处理程序
  • 计算机浏览器
  • 远程过程调用定位器
  • 传真服务
  • 索引服务
  • 性能日志和警报
  • Systems Management Server
  • 许可证记录服务

  如何撤消变通方法。 在防火墙处解除对 TCP 端口 139 和 445 的阻止 有关端口的详细信息，请参阅 TCP 和 UDP 端口分配。

此漏洞的影响范围有多大？  
这是一个拒绝服务漏洞。 利用此漏洞的攻击者可能会导致受影响系统停止响应，直至其被手动重新启动。 请注意，虽然攻击者无法利用拒绝服务漏洞来执行代码或提升他们的用户权限，但此漏洞可能导致受影响的系统停止接受请求。

造成漏洞的原因是什么？  
漏洞由 Microsoft 服务器消息块 (SMB) 协议软件不正确处理在协商期间分析 SMB 数据包时可能出现的竞争状态所导致。 此漏洞影响 SMB 版本 1 和 SMB 版本 2。

什么是 Microsoft 服务器消息块 (SMB) 协议？  
Microsoft 服务器消息块 (SMB) 协议是 Microsoft Windows 中使用的一项 Microsoft 网络文件共享协议。 有关 SMB 的详细信息，请参阅 Microsoft SMB 协议和 CIFS 协议概述。

什么是 Microsoft 服务器消息块版本 2 (SMBv2)？  
服务器消息块 (SMB) 是由基于 Windows 的计算机默认使用的文件共享协议。 SMB 版本 2.0 (SMBv2) 是此协议的更新，仅在运行 Windows Server 2008、Windows 7 和 Windows Vista 的计算机上受支持。 只有当客户端和服务器均支持时，才使用 SMBv2。 如果客户端或服务器不支持 SMBv2，将使用 SMB 1.0 协议作为替代。 文件操作所使用的 SMB 协议版本在协商阶段决定。 在协商阶段，Windows Vista 客户端会告知服务器，它可以理解 SMBv2 协议。 如果服务器（Windows Server 2008 或更高版本）理解 SMBv2，随后将选择 SMBv2 进行后续通信。 否则客户端和服务器将使用 SMB 1.0 和继续正常运行。 有关 SMBv2 的详细信息，请参阅 MSDN 文章服务器消息块 (SMB) 版本 2 协议规范。

SMBv1 和 SMBv2 之间的区别是什么？  
两种协议均由客户端用来通过网络向服务器系统请求文件和打印服务。 两种协议均为有状态协议，其中客户端建立到服务器的连接，在该连接上建立身份验证上下文，然后发出关于访问文件、打印机和命名管道以进行进程间通信的各种请求。 SMBv2 协议是现有 SMB 协议的主要版本。 虽然许多基本概念相同，但是数据包格式完全不同。 除了提供 SMBv1 中的所有功能之外，SMBv2 协议提供多种增强功能：

• 在客户端连接临时断开之后能够打开文件以重新建立连接。
• 允许服务器平衡任何时候客户端上可能未完成的同时操作数。
• 提供共享数、用户数和同时打开的文件数方面的可伸缩性。
• 支持符号链接。
• 使用更强的算法来验证请求和响应的完整性。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可能导致用户的系统停止响应,直至被手动重新启动。

攻击者如何利用此漏洞？  
攻击者可能通过创建特制的 SMB 数据包并将其发送到受影响的系统来试图利用此漏洞。

受此漏洞威胁最大的系统有哪些？  
带有 SMB 服务器服务的所有系统均会受此漏洞影响。 域控制器受此漏洞的威胁更大，由于这些系统默认情况下向所有域用户开放网络共享。

此更新有什么作用？  
通过纠正 SMB 分析特制的 SMB 数据包的方式，此安全更新解决了漏洞。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击用户的信息。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 在 Windows Vista 和 Windows 7 中，如果网络配置文件设置为“公共”，则系统不受此漏洞的影响，因为非法入站网络数据包默认被阻止。
• 虽然攻击者无法利用此漏洞来执行代码或提升他们的用户权限，但是漏洞可能导致受影响系统停止响应，直至用户手动重新启动为止。
• 采用防火墙最佳做法和标准的默认防火墙配置，有助于保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。 在这种情况下，应阻止从 Internet 访问 SMB 端口。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 在防火墙处阻止 TCP 端口 139 和 445

  这些端口用于启动与受影响组件的连接。 将 TCP 端口 139 和 445 阻止在防火墙处，有助于保护位于防火墙后面的系统尝试利用此漏洞。 Microsoft 建议阻塞所有来自 Internet 的未经请求的入站通信，以帮助阻止可能使用其他端口进行的攻击。 有关端口的详细信息，请参阅 TechNet 文章 TCP 和 UDP 端口分配。

  变通办法的影响。 许多 Windows 服务使用受影响的端口。 阻止与端口进行连接可能导致各种应用程序或服务无法正常运行。 以下列出了可能受到影响的某些应用程序或服务：

  • 使用 SMB（CIFS）的应用程序
  • 使用邮件槽或命名管道 (RPC over SMB) 的应用程序
  • 服务器（文件和打印共享）
  • 组策略
  • Net Logon
  • 分布式文件系统 (DFS)
  • 终端服务器授权
  • 打印后台处理程序
  • 计算机浏览器
  • 远程过程调用定位器
  • 传真服务
  • 索引服务
  • 性能日志和警报
  • Systems Management Server
  • 许可证记录服务

  如何撤消变通方法。 在防火墙处解除对 TCP 端口 139 和 445 的阻止 有关端口的详细信息，请参阅 TCP 和 UDP 端口分配。

• 禁用 SMB v2

  注意 要使用自动化“Microsoft 修复”解决方案来启用或禁用此变通办法，请参阅 Microsoft 知识库文章 975517。

  要修改注册表项，请执行以下步骤：

  注意：如果注册表编辑器使用不当，可能会导致严重的问题，可能必须重新安装操作系统。 Microsoft 不保证能够解决因注册表编辑器使用不当而导致的问题。 使用注册表编辑器的风险由您自己承担。 有关如何编辑注册表的信息，请查看注册表编辑器 (Regedit.exe) 中的“更改项和值”帮助主题，或查看 Regedt32.exe 中的“在注册表中添加和删除信息”和“编辑注册表数据”帮助主题。

  1. 单击“开始”，单击“运行”，在“打开”框中键入 Regedit，然后单击“确定”。
  2. 找到并随后单击下列注册表子项：
     
     HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
  3. 单击“LanmanServer”。
  4. 单击“Parameters”。
  5. 右键单击以添加新的 DWORD（32 位）值。
  6. 在“名称数据”字段中输入“smb2”，并将“数值数据”字段更改为 0。
  7. 退出。
  8. 通过执行以下操作之一重新启动“Server”服务：
     
     - 打开计算机管理 MMC，导航到“服务和应用程序”，单击“服务”，右键单击“Server”服务名称并单击“重新启动”。 在弹出菜单中回答“是”。
     
     - 使用管理员权限通过命令提示符键入 net stop server，然后键入 net start server。

  变通办法的影响。 主机将不会使用 SMBv2 进行通信。相反，主机将使用 SMB 1.0 进行通信。这不会影响诸如文件和打印机共享等基本服务。 这些服务将继续正常运行。

  如何撤消变通方法：

  1. 单击“开始”，单击“运行”，在“打开”框中键入 Regedit，然后单击“确定”。
  2. 找到并随后单击下列注册表子项：
     
     HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
  3. 单击“LanmanServer”。
  4. 单击“Parameters”。
  5. 双击“smb2”，将“数值数据”字段更改为 1。
  6. 退出。
  7. 通过执行以下操作之一重新启动“Server”服务：
     
     - 打开计算机管理 MMC，导航到“服务和应用程序”，单击“服务”，右键单击“Server”服务名称并单击“重新启动”。 在弹出菜单中回答“是”。
     
     - 使用管理员权限通过命令提示符键入 net stop server，然后键入 net start server。

此漏洞的影响范围有多大？  
这是一个拒绝服务漏洞。 利用此漏洞的攻击者可能会导致受影响系统停止响应，直至其被手动重新启动。 请注意，虽然攻击者无法利用拒绝服务漏洞来执行代码或提升他们的用户权限，但此漏洞可能导致受影响的系统停止接受请求。

造成漏洞的原因是什么？  
漏洞由 Microsoft 服务器消息块 (SMB) 协议软件不正确验证共享和格式错误的 SMB 数据包中的服务器名字段所导致。

什么是 Microsoft 服务器消息块 (SMB) 协议？  
Microsoft 服务器消息块 (SMB) 协议是 Microsoft Windows 中使用的一项 Microsoft 网络文件共享协议。 有关 SMB 的详细信息，请参阅 Microsoft SMB 协议和 CIFS 协议概述。

什么是 Microsoft 服务器消息块版本 2 (SMBv2)？  
服务器消息块 (SMB) 是由基于 Windows 的计算机默认使用的文件共享协议。 SMB 版本 2.0 (SMBv2) 是此协议的更新，仅在运行 Windows Server 2008、Windows 7 和 Windows Vista 的计算机上受支持。 只有当客户端和服务器均支持时，才使用 SMBv2。 如果客户端或服务器不支持 SMBv2，将使用 SMB 1.0 协议作为替代。 文件操作所使用的 SMB 协议版本在协商阶段决定。 在协商阶段，Windows Vista 客户端会告知服务器，它可以理解 SMBv2 协议。 如果服务器（Windows Server 2008 或更高版本）理解 SMBv2，随后将选择 SMBv2 进行后续通信。 否则客户端和服务器将使用 SMB 1.0 和继续正常运行。 有关 SMBv2 的详细信息，请参阅 MSDN 文章服务器消息块 (SMB) 版本 2 协议规范。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可能导致用户的系统停止响应,直至被手动重新启动。

攻击者如何利用此漏洞？  
攻击者可能通过创建特制的 SMB 数据包并将其发送到受影响的系统来试图利用此漏洞。

受此漏洞威胁最大的系统有哪些？  
带有 SMB 服务器服务的所有系统均会受此漏洞影响。 域控制器受此漏洞的威胁更大，由于这些系统默认情况下向所有域用户开放网络共享。

此更新有什么作用？  
此安全更新通过正确验证 SMB 数据包中的字段来消除该漏洞。

发布此安全公告时，此漏洞是否已公开披露？  
是。 此漏洞已公开披露。 已为此漏洞分配了常见漏洞和披露号码 CVE-2010-0022。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击用户的信息。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 采用防火墙最佳做法和标准的默认防火墙配置，有助于保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。 在这种情况下，应阻止从 Internet 访问 SMB 端口。

Microsoft 并未发现此漏洞的任何变通办法。

此漏洞的影响范围有多大？  
这是一个特权提升漏洞。 成功利用此漏洞的攻击者可能在不需要准确身份验证凭据的情况下成功地针对目标系统进行身份验证。 然后，攻击者可以上载和下载文件，访问该用户可用的 SMB 网络资源。

造成漏洞的原因是什么？  
此漏洞是由在 SMB 服务器生成质询并向正在连接的客户端显示它们时缺少加密平均信息量所导致。 这可能导致攻击者连续地尝试针对 SMB 服务器进行身份验证，并且随后使该服务器生成重复的值。

什么是 Microsoft 服务器消息块 (SMB) 协议？  
Microsoft 服务器消息块 (SMB) 协议是 Microsoft Windows 中使用的一项 Microsoft 网络文件共享协议。 有关 SMB 的详细信息，请参阅 Microsoft SMB 协议和 CIFS 协议概述。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可以上载和下载文件，并且访问他能够访问其帐户的用户可用的 SMB 网络资源。

攻击者如何利用此漏洞？  
通过连续地尝试针对服务器进行身份验证，从那些失败的连接再次使用信息来哄骗有效的身份验证令牌，攻击者可以尝试利用该漏洞。

受此漏洞威胁最大的系统有哪些？  
带有 SMB 服务器服务的所有系统均会受此漏洞影响。 域控制器受此漏洞的威胁更大，由于这些系统默认情况下向所有域用户开放网络共享。

此更新有什么作用？  
通过确保 SMB 服务器使用具有足够平均信息量保证的加密供应商，此更新解决了漏洞。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击用户的信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

注意 对于受支持版本 Windows XP Professional x64 Edition，此安全更新与受支持版本 Windows Server 2003 x64 Edition 的安全更新相同。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。