Microsoft 安全公告 MS14-002 - 重要
Windows 内核中的漏洞可能允许提升权限(2914368)
发布时间: 2014 年 1 月 14 日
版本: 1.0
常规信息
执行摘要
此安全更新可解决 Microsoft Windows 中公开报告的漏洞。 如果攻击者登录到系统并运行特制的应用程序,该漏洞可能会允许提升特权。 攻击者必须具有有效的登录凭据,并且能够在本地登录以利用此漏洞。
对于所有受支持的 Windows XP 和 Windows Server 2003 版本,此安全更新都被评为“重要”。 有关详细信息,请参阅本节中的小节“ 受影响的和非受影响的软件”。
安全更新通过正确验证传递给 Windows 内核组件的输入来解决漏洞。 有关漏洞的详细信息,请参阅下一部分 “漏洞信息”下特定漏洞条目的常见问题解答(常见问题解答)子部分。
此安全更新还解决了 Microsoft 安全公告2814486中所述的漏洞。
建议。 大多数客户已启用自动更新,无需采取任何操作,因为将自动下载并安装此安全更新。 未启用自动更新的客户需要检查更新并手动安装此更新。 有关自动更新中的特定配置选项的信息,请参阅 Microsoft 知识库文章294871。
对于管理员和企业安装,或想要手动安装此安全更新的最终用户,Microsoft 建议客户尽早使用更新管理软件应用更新,或者检查使用 Microsoft 更新服务进行更新。
另请参阅本公告后面的“检测和部署工具和指南”部分。
知识库文章
- 知识库文章: 2914368
- 文件信息:是
- SHA1/SHA2 哈希:是
- 已知问题:无
受影响的和非受影响的软件
以下软件已经过测试,以确定受影响的版本。 其他版本或版本要么超过其支持生命周期,要么不受影响。 若要确定软件版本或版本的支持生命周期,请参阅Microsoft 支持部门生命周期。
受影响的软件
操作系统 | 最大安全影响 | 聚合严重性分级 | 已替换汇报 |
---|---|---|---|
Windows XP | |||
Windows XP Service Pack 3 (2914368) | 权限提升 | 重要 | MS10-099 中的 2440591 |
Windows XP Professional x64 Edition Service Pack 2 (2914368) | 权限提升 | 重要 | MS10-099 中的 2440591 |
Windows Server 2003 | |||
Windows Server 2003 Service Pack 2 (2914368) | 权限提升 | 重要 | MS10-099 中的 2440591 |
Windows Server 2003 x64 版本 Service Pack 2 (2914368) | 权限提升 | 重要 | MS10-099 中的 2440591 |
Windows Server 2003 SP2 for Itanium based Systems (2914368) | 权限提升 | 重要 | MS10-099 中的 2440591 |
受影响的软件
操作系统 |
---|
Windows Vista Service Pack 2 |
Windows Vista x64 版本 Service Pack 2 |
Windows Server 2008 for 32 位系统 Service Pack 2 |
基于 x64 的系统 Service Pack 2 的 Windows Server 2008 |
基于 Itanium 的系统 Service Pack 2 的 Windows Server 2008 |
Windows 7 for 32 位系统 Service Pack 1 |
基于 x64 的系统 Service Pack 1 的 Windows 7 |
基于 x64 的系统 Service Pack 1 的 Windows Server 2008 R2 |
适用于基于 Itanium 的系统 Service Pack 1 的 Windows Server 2008 R2 |
适用于 32 位系统的 Windows 8 |
基于 x64 的系统 Windows 8 |
适用于 32 位系统的 Windows 8.1 |
基于 x64 的系统版 Windows 8.1 |
Windows Server 2012 |
Windows Server 2012 R2 |
Windows RT |
Windows RT 8.1 |
服务器核心安装选项 |
Windows Server 2008 for 32 位系统 Service Pack 2 (服务器核心安装) |
基于 x64 的系统 Service Pack 2 的 Windows Server 2008 (服务器核心安装) |
基于 x64 的系统 Service Pack 1 的 Windows Server 2008 R2 (服务器核心安装) |
Windows Server 2012 R2 (服务器核心安装) |
Windows Server 2012 (服务器核心安装) |
更新常见问题解答
如果我应用了以前在 Microsoft 安全咨询2914486中所述的解决方法,我是否应在应用此更新之前或之后撤消该解决方法?
是的,客户应在应用此更新之前撤消解决方法。 如果不在某些时候撤消解决方法,依赖于电话应用程序编程接口(TAPI)的服务将无法正常工作。 这些服务包括远程访问服务(RAS)、拨号网络和虚拟专用网络(VPN)。
我使用的是此安全公告中讨论的软件的较旧版本。 应采取何种操作?
此公告中列出的受影响的软件已经过测试,以确定哪些版本受到影响。 其他版本已超过其支持生命周期。 有关产品生命周期的详细信息,请参阅Microsoft 支持部门生命周期网站。
对于具有较旧版本的软件的客户来说,这应该是一个优先事项,可以迁移到受支持的版本,以防止潜在的漏洞暴露。 若要确定软件版本的支持生命周期,请参阅 “选择产品生命周期信息”。 有关这些软件版本的 Service Pack 的详细信息,请参阅 Service Pack 生命周期支持策略。
需要旧版软件自定义支持的客户必须联系其 Microsoft 帐户团队代表、其技术客户经理或相应的 Microsoft 合作伙伴代表以获取自定义支持选项。 没有联盟、顶级或授权合同的客户可以与其当地的 Microsoft 销售办公室联系。 有关联系信息,请参阅 Microsoft 全球信息网站,在“联系信息”列表中选择国家/地区,然后单击“转到”以查看电话号码列表。 呼叫时,请与当地顶级支持销售经理交谈。 有关详细信息,请参阅Microsoft 支持部门生命周期策略常见问题解答。
严重性分级和漏洞标识符
以下严重性分级假定漏洞的潜在最大影响。 有关此安全公告发布后 30 天内漏洞的可利用性及其严重性评级和安全影响的信息,请参阅 1 月公告摘要中的 Exploitability Index。 有关详细信息,请参阅 Microsoft Exploitability Index。
受影响的软件的漏洞严重性分级和最大安全影响 | ||
---|---|---|
受影响的软件 | 内核 NDProxy 漏洞 - CVE-2013-5065 | 聚合严重性分级 |
Windows XP | ||
Windows XP Service Pack 3 | 重要 特权提升 | 重要说明 |
Windows XP Professional x64 Edition Service Pack 2 | 重要 特权提升 | 重要说明 |
Windows Server 2003 | ||
Windows Server 2003 Service Pack 2 | 重要 特权提升 | 重要说明 |
Windows Server 2003 x64 Edition Service Pack 2 | 重要 特权提升 | 重要说明 |
Windows Server 2003 SP2 for Itanium 基于系统的 SP2 | 重要 特权提升 | 重要说明 |
内核 NDProxy 漏洞 - CVE-2013-5065
由于验证从用户模式传递到内核的输入不正确,Windows 内核的 NDProxy 组件中存在特权提升漏洞。 此漏洞可能允许攻击者在内核模式下运行代码。 成功利用此漏洞的攻击者可以运行特制的应用程序,并完全控制受影响的系统。 然后,攻击者可以安装程序;查看、更改或删除数据;或创建具有完全管理员权限的新帐户。
若要将此漏洞视为常见漏洞和公开列表中的标准条目,请参阅 CVE-2013-5065。
缓解因素
缓解是指在默认状态下存在的设置、常见配置或一般最佳做法,这可能会降低漏洞利用的严重性。 以下缓解因素可能对你的情况有所帮助:
- 攻击者必须具有有效的登录凭据,并且能够在本地登录以利用此漏洞。 无法远程或匿名用户利用该漏洞。
解决方法
解决方法是指未更正基础漏洞的设置或配置更改,但有助于在应用更新之前阻止已知的攻击途径。 Microsoft 在讨论解决方法是否减少功能时测试了以下解决方法和状态:
重新路由 NDProxy 服务以Null.sys
对于具有非默认受限用户权限的环境,Microsoft 已验证以下解决方法是否有效阻止了在野外观察到的攻击。
若要实现此解决方法,请执行以下步骤:
在提升的命令提示符下,执行以下命令:
sc stop ndproxy reg add HKLM\System\CurrentControlSet\Services\ndproxy /v ImagePath /t REG_EXPAND_SZ /d system32\drivers\null.sys /f
重新启动系统。
解决方法的影响。 禁用NDProxy.sys将导致依赖于 Windows 电话应用程序编程接口(TAPI)的某些服务无法正常工作。 不再工作的服务包括远程访问服务(RAS)、拨号网络和虚拟专用网络(VPN)。
如何撤消解决方法。
若要撤消此解决方法,请执行以下步骤:
在提升的命令提示符下,执行以下命令:
sc stop ndproxy reg add HKLM\System\CurrentControlSet\Services\ndproxy /v ImagePath /t REG_EXPAND_SZ /d system32\drivers\ndproxy.sys /f
重新启动系统。
常见问题解答
漏洞的范围是什么?
这是特权提升漏洞。
导致漏洞的原因是什么?
当NDProxy.sys内核组件无法正确验证输入时,会导致该漏洞。
什么是 NDPROXY?
NDPROXY 是一个系统提供的驱动程序,用于将 WAN 微型端口驱动程序、呼叫管理器和微型端口呼叫管理器连接到电话应用程序编程接口(TAPI)服务。 有关详细信息,请参阅 MSDN 文章 NDPROXY 概述。
攻击者可能使用漏洞执行哪些操作?
成功利用此漏洞的攻击者可以在内核模式下运行任意代码。 然后,攻击者可以安装程序;查看、更改或删除数据;或创建具有完全管理权限的新帐户。
攻击者如何利用漏洞?
若要利用此漏洞,攻击者首先必须登录到系统。 然后,攻击者可以运行一个专门制作的应用程序,利用漏洞并完全控制受影响的系统。
哪些系统主要面临漏洞的风险?
工作站和终端服务器主要面临风险。 如果管理员允许用户登录到服务器并运行程序,则服务器可能会面临更大的风险。 但是,最佳做法强烈建议不要允许这样做。
更新的作用是什么?
更新通过正确验证传递给 Windows 内核组件的输入来解决漏洞。
发布此安全公告后,是否已公开披露此漏洞?
是的。 此漏洞已公开披露。 它已分配了常见漏洞和公开号码 CVE-2013-5065。 Microsoft 安全咨询2914486中首先介绍了此漏洞。
发布此安全公告后,Microsoft 是否收到了有关此漏洞被利用的任何报告?
是的。 Microsoft 知道尝试利用此漏洞的有限有针对性的攻击。
检测和部署工具和指南
多个资源可用于帮助管理员部署安全更新。
- Microsoft 基线安全分析器(MBSA)允许管理员扫描本地和远程系统,以查找缺少安全更新和常见安全配置错误。
- Windows Server Update Services (WSUS)、系统管理服务器(SMS)和 System Center Configuration Manager 可帮助管理员分发安全更新。
- 应用程序兼容性工具包随附的更新兼容性计算器组件有助于简化针对已安装应用程序的 Windows 更新测试和验证。
有关这些工具和可用的其他工具的信息,请参阅 适用于 IT 专业人员的安全工具。
安全更新部署
Windows XP (所有版本)
引用表
下表包含此软件的安全更新信息。
安全更新文件名 | 对于所有受支持的 32 位版本的 Windows XP:\ WindowsXP-知识库(KB)2914368-x86-ENU.exe |
---|---|
\ | 对于所有受支持的基于 x64 的 Windows XP Professional 版本:\ WindowsServer2003.WindowsXP-知识库(KB)2914368-x64-ENU.exe |
安装开关 | 请参阅 Microsoft 知识库文章262841 |
更新日志文件 | 知识库(KB)2914368.log |
重启要求 | 是的,应用此安全更新后,必须重启系统。 |
删除信息 | 在 %Windir%$NTUninstall知识库(KB)2914368$\Spuninst 文件夹中使用控制面板或Spuninst.exe实用工具中的“添加或删除程序”项 |
文件信息 | 请参阅 Microsoft 知识库文章2914368 |
注册表项验证 | 对于所有受支持的 32 位版本的 Windows XP:\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows XP\SP4\知识库(KB)2914368\Filelist |
\ | 对于所有受支持的基于 x64 的 Windows XP:\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows XP 版本 2003\SP3\知识库(KB)2914368\Filelist |
请注意 ,Windows XP Professional x64 Edition 支持的版本的更新也适用于受支持的 Windows Server 2003 x64 版本。
Windows Server 2003 (所有版本)
引用表
下表包含此软件的安全更新信息。
安全更新文件名 | 对于所有受支持的 32 位版本的 Windows Server 2003:\ WindowsServer2003-知识库(KB)2914368-x86-ENU.exe |
---|---|
\ | 对于所有受支持的基于 x64 的 Windows Server 2003:\ WindowsServer2003.WindowsXP-知识库(KB)2914368-x64-ENU.exe |
\ | 对于所有受支持的基于 Itanium 的 Windows Server 2003:\ WindowsServer2003-知识库(KB)2914368-ia64-ENU.exe |
安装开关 | 请参阅 Microsoft 知识库文章262841 |
更新日志文件 | 知识库(KB)2914368.log |
重启要求 | 是的,应用此安全更新后,必须重启系统。 |
删除信息 | 在 %Windir%$NTUninstall知识库(KB)2914368$\Spuninst 文件夹中使用控制面板或Spuninst.exe实用工具中的“添加或删除程序”项 |
文件信息 | 请参阅 Microsoft 知识库文章2914368 |
注册表项验证 | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows Server 2003\SP3\知识库(KB)2914368\Filelist |
请注意 ,Windows Server 2003 x64 版本的受支持版本的更新也适用于受支持的 Windows XP Professional x64 版本。
致谢
Microsoft 感谢 以下部门与我们合作,帮助保护客户:
- FireEye, Inc. 用于帮助我们处理内核 NDProxy 漏洞 (CVE-2013-5065)
其他信息
Microsoft Active Protections 计划 (MAPP)
为了改善客户的安全保护,Microsoft 在每月安全更新发布之前向主要安全软件提供商提供漏洞信息。 然后,安全软件提供商可以使用此漏洞信息通过其安全软件或设备(如防病毒、基于网络的入侵检测系统或基于主机的入侵防护系统)为客户提供更新的保护。 若要确定安全软件提供商是否提供主动保护,请转到 Microsoft Active Protections 计划 (MAPP) 合作伙伴中列出的计划合作伙伴提供的活动保护网站。
支持
如何获取此安全更新的帮助和支持
- 帮助安装更新: 支持 Microsoft 更新
- 面向 IT 专业人员的安全解决方案: TechNet 安全故障排除和支持
- 帮助保护运行 Windows 的计算机免受病毒和恶意软件的攻击: 病毒解决方案和安全中心
- 根据国家/地区提供本地支持: 国际支持
免责声明
Microsoft 知识库中提供的信息“按原样”提供,不提供任何形式的担保。 Microsoft 不明确或暗示所有保证,包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下,Microsoft Corporation 或其供应商都应对任何损害负责,包括直接、间接、附带、后果性、业务利润损失或特殊损害,即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任,因此上述限制可能不适用。
修订
- V1.0(2014 年 1 月 14 日):公告已发布。
页面生成的 2014-06-25 13:41Z-07:00。