安全公告

Microsoft 安全公告 MS13-050 - 重要提示

Windows 打印后台处理程序组件中的漏洞可能允许提升权限（2839894）

发布时间： 2013 年 6 月 11 日 |更新时间：2013 年 12 月 16 日

版本： 1.1

常规信息

执行摘要

此安全更新可解决 Microsoft Windows 中私有报告的漏洞。 当经过身份验证的攻击者删除打印机连接时，该漏洞可能会允许提升特权。 攻击者必须具有有效的登录凭据，并且能够登录以利用此漏洞。

对于所有受支持的 Windows Vista 版本、Windows Server 2008、Windows 7、Windows Server 2008 R2、Windows 8、Windows Server 2012 和 Windows RT，此安全更新都被评为“重要”。 有关详细信息，请参阅本节中的小节“ 受影响的和非受影响的软件”。

安全更新通过更正 Windows 打印后台处理程序在删除打印机连接时分配内存的方式来解决漏洞。 有关漏洞的详细信息，请参阅下一部分 “漏洞信息”下特定漏洞条目的常见问题解答（常见问题解答）子部分。

建议。 大多数客户已启用自动更新，无需采取任何操作，因为将自动下载并安装此安全更新。 未启用自动更新的客户需要检查更新并手动安装此更新。 有关自动更新中的特定配置选项的信息，请参阅 Microsoft 知识库文章294871。

对于管理员和企业安装，或想要手动安装此安全更新的最终用户，Microsoft 建议客户尽早使用更新管理软件应用更新，或者检查使用 Microsoft 更新服务进行更新。

另请参阅本公告后面的“检测和部署工具和指南”部分。

知识库文章

受影响的和非受影响的软件

以下软件已经过测试，以确定哪些版本受到影响。 其他版本或版本要么超过其支持生命周期，要么不受影响。 若要确定软件版本或版本的支持生命周期，请参阅Microsoft 支持部门生命周期。

受影响的软件 

^[1]此更新通过Windows 更新提供。

受影响的软件

更新常见问题解答

我运行的是 Windows Server 2008（Server Core 安装）、Windows Server 2008 R2（服务器核心安装），或 Windows Server 2012（Server Core 安装），这些安装列在受影响的软件表中。为什么未提供2839894更新？
2839894更新仅适用于启用 Printing-ServerCore-Role 设置时运行 Windows Server 2008、Windows Server 2008 R2 或 Windows Server 2012 的服务器核心安装选项的系统。

我使用的是此安全公告中讨论的软件的较旧版本。 应采取何种操作？
此公告中列出的受影响的软件已经过测试，以确定哪些版本受到影响。 其他版本已超过其支持生命周期。 有关产品生命周期的详细信息，请参阅Microsoft 支持部门生命周期网站。

对于具有较旧版本的软件的客户来说，这应该是一个优先事项，可以迁移到受支持的版本，以防止潜在的漏洞暴露。 若要确定软件版本的支持生命周期，请参阅 “选择产品生命周期信息”。 有关这些软件版本的 Service Pack 的详细信息，请参阅 Service Pack 生命周期支持策略。

需要旧版软件自定义支持的客户必须联系其 Microsoft 帐户团队代表、其技术客户经理或相应的 Microsoft 合作伙伴代表以获取自定义支持选项。 没有联盟、顶级或授权合同的客户可以与其当地的 Microsoft 销售办公室联系。 有关联系信息，请参阅 Microsoft 全球信息网站，在“联系信息”列表中选择国家/地区，然后单击“转到”以查看电话号码列表。 呼叫时，请与当地顶级支持销售经理交谈。 有关详细信息，请参阅Microsoft 支持部门生命周期策略常见问题解答。

漏洞信息

严重性分级和漏洞标识符

以下严重性分级假定漏洞的潜在最大影响。 有关此安全公告发布后 30 天内漏洞的可利用性及其严重性评级和安全影响的信息，请参阅 6 月公告摘要中的“可利用性索引”。 有关详细信息，请参阅 Microsoft Exploitability Index。

打印后台处理程序漏洞 - CVE-2013-1339

删除打印机时，Microsoft Windows 打印后台处理程序处理内存的方式存在特权提升漏洞。

若要将此漏洞视为常见漏洞和公开列表中的标准条目，请参阅 CVE-2013-1339。

缓解因素

缓解是指在默认状态下存在的设置、常见配置或一般最佳做法，这可能会降低漏洞利用的严重性。 以下缓解因素可能对你的情况有所帮助：

• 攻击者必须具有有效的登录凭据，并且能够登录以利用此漏洞。

解决方法

解决方法是指未更正基础漏洞的设置或配置更改，但有助于在应用更新之前阻止已知的攻击途径。 Microsoft 在讨论解决方法是否减少功能时测试了以下解决方法和状态：

• 禁用打印后台处理程序服务
  禁用打印后台处理程序服务有助于防止受影响的系统尝试利用此漏洞。 若要禁用打印后台处理程序服务，请执行以下步骤。

  交互式方法：

  警告 如果注册表编辑器不正确，可能会导致严重问题，可能需要重新安装操作系统。 Microsoft 无法保证可以解决因注册表编辑器使用不当而造成的问题。 请慎用注册表编辑器，风险自负。

  1. 单击“开始”，再单击“运行”，键入“regedit& ”，然后单击“确定”。

  2. 在注册表编辑器中，展开以下注册表位置：

     HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\

  3. 选择 “打印后台处理程序”，然后单击“ 文件 ”菜单，然后选择“ 导出”。

  4. 在 “导出注册表文件 ”对话框中，键入 spooler_configuration_backup.reg 并单击“ 保存”。

  5. 双击名为“开始”的注册表 DWORD 条目，将其值更改为 4，然后单击“确定”。

  6. 在以管理员身份运行的命令提示符下运行以下命令：

     sc stop spooler

  使用托管部署脚本：

  1. 使用托管部署脚本和以下命令创建注册表项的备份副本：

     regedit /e spooler_configuration_backup.reg HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\spooler

  2. 创建包含以下内容的名为 Disable_spooler.reg 的文本文件：

     Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Spooler]
     "Start"=dword:00000004
     

  3. 使用以下命令运行在目标系统上的步骤 2 中创建的注册表脚本：

     Regedit /s Disable_spooler.reg

  4. 在以管理员身份运行的命令提示符下运行以下命令：

     sc stop spooler

  解决方法的影响。 与打印相关的组件将无法正常运行;打印将被禁用。

  如何撤消解决方法。 

  若要使用交互式方法应用，则撤消解决方法：

  1. 单击“开始”，再单击“运行”，键入“regedit& ”，然后单击“确定”。
  2. 单击“文件”菜单，然后选择“导入”。
  3. 在“ 导入注册表文件 ”对话框中，选择创建的注册表备份文件（spooler_configuration_backup.reg），然后单击“ 打开”。

  若要撤消使用托管部署脚本应用的解决方法，请在以管理员身份运行的命令提示符处运行以下命令：

  Regedit /s spooler_configuration_backup.reg

常见问题解答

漏洞的范围是什么？
这是特权提升漏洞。

导致漏洞的原因是什么？
当删除打印机连接时 Windows 打印后台处理程序未正确释放内存时，会导致此漏洞。

什么是打印后台处理程序服务？
打印后台处理程序服务是作为服务安装的可执行文件。 操作系统启动时会加载后台处理程序，并将继续运行，直到操作系统关闭。 打印后台处理程序服务管理打印过程，其中包括检索正确打印机驱动程序的位置、加载该驱动程序、将高级函数调用到打印作业以及计划打印作业等任务。 当特定打印作业的任务完成时，打印后台处理程序服务会将作业传递给打印路由器。 有关详细信息，请参阅 网络打印的工作原理。

攻击者可能使用漏洞执行哪些操作？
成功利用此漏洞的攻击者可以在具有系统特权的用户系统上运行任意代码。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 然后，攻击者可以安装程序;查看、更改或删除数据;或创建新帐户。

攻击者如何利用漏洞？
经过身份验证的攻击者可以通过删除打印机连接来利用漏洞。

哪些系统主要面临漏洞的风险？
工作站和服务器主要面临此漏洞的风险。

更新的作用是什么？
更新通过更正 Windows 打印后台处理程序在删除打印机连接时分配内存的方式来解决漏洞。

发布此安全公告后，是否已公开披露此漏洞？
否。 Microsoft 通过协调的漏洞泄露收到了有关此漏洞的信息。

发布此安全公告后，Microsoft 是否收到了有关此漏洞被利用的任何报告？
否。 当最初发布此安全公告时，Microsoft 未收到任何信息，表明此漏洞已公开用于攻击客户。

更新信息

检测和部署工具和指南

多个资源可用于帮助管理员部署安全更新。 

• Microsoft 基线安全分析器（MBSA）允许管理员扫描本地和远程系统，以查找缺少安全更新和常见安全配置错误。 
• Windows Server Update Services（WSUS）、系统管理服务器（SMS）和 System Center Configuration Manager（SCCM）可帮助管理员分发安全更新。 
• 应用程序兼容性工具包随附的更新兼容性计算器组件有助于简化针对已安装应用程序的 Windows 更新测试和验证。 

有关这些工具和可用的其他工具的信息，请参阅 适用于 IT 专业人员的安全工具。 

安全更新部署

受影响的软件

有关受影响软件的特定安全更新的信息，请单击相应的链接：

Windows Vista （所有版本）

引用表

下表包含此软件的安全更新信息。

Windows Server 2008（所有版本）

引用表

下表包含此软件的安全更新信息。

Windows 7 （所有版本）

引用表

下表包含此软件的安全更新信息。

Windows Server 2008 R2（所有版本）

引用表

下表包含此软件的安全更新信息。

Windows 8 （所有版本）

引用表

下表包含此软件的安全更新信息。

Windows Server 2012（所有版本）

引用表

下表包含此软件的安全更新信息。

Windows RT （所有版本）

下表包含此软件的安全更新信息。

其他信息

Microsoft Active Protections 计划 （MAPP）

为了改善客户的安全保护，Microsoft 在每月安全更新发布之前向主要安全软件提供商提供漏洞信息。 然后，安全软件提供商可以使用此漏洞信息通过其安全软件或设备（如防病毒、基于网络的入侵检测系统或基于主机的入侵防护系统）为客户提供更新的保护。 若要确定安全软件提供商是否提供主动保护，请转到 Microsoft Active Protections 计划 （MAPP） 合作伙伴中列出的计划合作伙伴提供的活动保护网站。

支持

如何获取此安全更新的帮助和支持

• 帮助安装更新： 支持 Microsoft 更新
• 面向 IT 专业人员的安全解决方案： TechNet 安全故障排除和支持
• 帮助保护运行 Windows 的计算机免受病毒和恶意软件的攻击： 病毒解决方案和安全中心
• 根据国家/地区提供本地支持： 国际支持

免责声明

Microsoft 知识库中提供的信息“按原样”提供，不提供任何形式的担保。 Microsoft 不明确或暗示所有保证，包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下，Microsoft Corporation 或其供应商都应对任何损害负责，包括直接、间接、附带、后果性、业务利润损失或特殊损害，即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任，因此上述限制可能不适用。

修订

• V1.0（2013 年 6 月 11 日）：公告已发布。
• V1.1（2013 年 12 月 16 日）：修订后的公告，宣布了检测更改以更正 Windows RT（2839894）的产品/服务问题。 这只是检测更改。 更新文件没有更改。 成功安装更新的客户无需采取任何操作。

生成于 2014-04-18T13：49：36Z-07：00