Microsoft 安全性布告欄 MS15-031 - 重要

安全通道中的弱點可能會允許略過安全性功能 （3046049）

發佈時間： 2015 年 3 月 10 日 |更新日期：2015 年 3 月 24 日

版本： 1.1

執行摘要

此安全性更新可解決 Microsoft Windows 中的弱點，可協助惡意探索公開的 FREAK 技術，這是非 Windows 作業系統專屬的全產業問題。 此弱點可讓中間人 （MiTM） 攻擊者強制將 RSA 金鑰的密鑰長度降級為 TLS 連線中的 EXPORT 級長度。 任何使用 Schannel 連線到具有不安全加密套件之遠端 TLS 伺服器的 Windows 系統都會受到影響。

此安全性更新已針對所有支援的 Microsoft Windows 版本評為重要。 如需詳細資訊，請參閱 受影響的軟體 一節。

安全性更新可藉由更正伺服器密鑰與客戶端系統之間交換伺服器密鑰時所使用的加密套件強制執行原則，來解決弱點。 如需弱點的詳細資訊，請參閱 弱點資訊 一節。

此安全性更新也會解決 Microsoft 資訊安全諮詢3046015中所述的第一個弱點。

如需此更新的詳細資訊，請參閱 Microsoft 知識庫文章3046049。

受影響的軟體

下列軟體版本或版本受到影響。 未列出的版本或版本要麼超過其支援生命周期，要麼不會受到影響。 若要判斷軟體版本或版本的支援生命週期，請參閱 Microsoft 支援服務 生命週期。

注意 此更新適用於 Windows Technical Preview 和 Windows Server Technical Preview。 鼓勵執行這些操作系統的客戶套用可透過 Windows Update 取得的更新。

^[1]此更新只能透過 Windows Update 取得 。

更新常見問題

安裝更新之後，Windows Server 2003 仍會啟用 EXPORT 加密;如何停用它們？
若要停用 Windows Server 2003 系統上的 EXPORT 加密，請遵循 Microsoft 知識庫文章3050509中提供的指引。

嚴重性評等和弱點標識碼

下列嚴重性評等假設弱點的潛在最大影響。 如需有關此安全性布告欄發行的 30 天內有關弱點嚴重性評等和安全性影響之惡意探索性的資訊，請參閱 3 月公告摘要中的惡意探索索引。

弱點資訊

安全通道安全性功能略過弱點 - CVE-2015-1637

安全通道（安全通道）中存在安全性功能略過弱點，因為TLS狀態機器發生問題，客戶端系統接受的 RSA 金鑰長度比原先交涉密鑰長度短的 RSA 金鑰。 此弱點有助於利用公開披露的FREAK技術，這是非 Windows 操作系統專屬的全產業問題。

在中間人攻擊中，攻擊者可以在加密的 TLS 工作階段中將 RSA 金鑰的金鑰長度降級為 EXPORT 等級長度。 攻擊者接著可以攔截並解密此流量。 以用戶端身分連線到 TLS 伺服器的任何 Windows 系統都會受到影響。 成功惡意探索此弱點的攻擊者可能會執行MiTM攻擊，以解密加密的流量。

安全性更新可藉由更正伺服器密鑰與客戶端系統之間交換伺服器密鑰時所使用的加密套件強制執行原則，來解決弱點。

此弱點已公開披露。 它已獲指派常見弱點和暴露號碼 CVE-2015-1637。 當本公告最初發佈時，Microsoft 尚未收到任何資訊，指出此問題已公開用來攻擊客戶。

緩和因素

下列 緩和因素 可能對您的情況有所説明：

• 伺服器必須支援 RSA 金鑰交換匯出密碼，才能成功攻擊;密碼會在 Windows Vista/Server 2008 和更新版本的作業系統的預設設定中停用。

因應措施

下列 因應措施 可能對您的情況有所説明：

• 使用群組策略物件編輯器停用 RSA 金鑰交換加密 （僅限 Windows Vista 和更新版本系統）
  您可以在組策略物件編輯器中修改 SSL 加密套件順序，以停用 Windows Vista 和更新版本中的 RSA 金鑰交換加密。

  注意 安裝此更新 （3046049） 可保護系統免於本公告中所討論的弱點。 先前實作此因應措施的客戶，如果想要使用先前停用的任何加密，則必須遵循複原因應措施的步驟。

  若要停用 RSA 金鑰交換加密，您必須執行下列步驟來指定 Windows 應該使用的加密：

  1. 在命令提示字元中，輸入 gpedit.msc ，然後按 Enter 以啟動組策略物件編輯器。

  2. 展開 [計算機設定]，管理員[範本]、[網络]，然後按兩下 [SSL 組態] 設定。

  3. 在 [SSL 組態] 設定 下，按兩下，按一下，按一下。。

  4. 在 [ SSL 加密套件順序 ] 視窗中，按兩下 [已啟用]。

  5. 在 [選項：] 窗格中，按兩下以醒目提示 [SSL 加密套件] 欄位的整個內容，然後將其內容取代為下列加密清單：

     TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,
      TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384,
      TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,
      TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,
      TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256,
      TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384,
      TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256,
      TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384,
      TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,
      TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,
      TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384,
      TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,
      TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,
      TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,
      TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,
      TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,
      TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256,
      TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384,
      TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256,
      TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384,
      TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,
      TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,
      TLS_DHE_DSS_WITH_AES_256_CBC_SHA,
      TLS_DHE_DSS_WITH_AES_128_CBC_SHA,
      TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA`
     

  6. 按一下 [檔案] > [新增] > [專案]

  7. 關閉組策略物件編輯器，然後重新啟動您的系統。

    因應措施的影響。 Windows 無法連線到不支援因應措施中所列任何加密的系統。 若要判斷每個密碼編譯通訊協定可用的加密，請參閱 安全通道中的加密套件。

如何復原因應措施。 請遵循下列步驟來停用 SSL 加密套件順序原則設定：

1. 在命令提示字元中，輸入 gpedit.msc ，然後按 Enter 以啟動組策略物件編輯器。
2. 展開 [計算機設定]，管理員 原則範本、網络，然後按兩下 [SSL 組態] 設定。
3. 在 [SSL 組態] 設定 下，按兩下，按一下，按一下。。
4. 在 [ SSL 加密套件順序 ] 視窗中，按兩下 [已 停用]，然後按兩下 [ 確定]。
5. 關閉組策略物件編輯器，然後重新啟動您的系統。

安全性更新部署

如需安全性更新部署資訊，請參閱執行摘要中參考的 Microsoft 知識庫文章。

通知

Microsoft 可辨識安全性社群中協助我們透過協調弱點洩漏保護客戶的工作。 如需詳細資訊，請參閱通知。

免責聲明

Microsoft 知識庫中提供的資訊會「如實」提供，而不會提供任何類型的擔保。 Microsoft 不表示明示或隱含的所有擔保，包括適銷性及適合特定用途的擔保。 任何情況下，Microsoft Corporation 或其供應商都不得承擔任何損害責任，包括直接、間接、附帶、衍生性、業務利潤損失或特殊損害，即使 Microsoft Corporation 或其供應商已獲告知可能遭受此類損害。 某些州不允許排除或限制衍生性或附帶性損害的責任，因此可能不適用上述限制。

修訂記錄

• V1.0 （2015 年 3 月 10 日）： 公告發佈。
• V1.1 （2015 年 3 月 24 日）：修訂後的公告，將常見問題引導客戶前往 Microsoft 知識庫文章3050509 ，以取得如何在 Windows Server 2003 系統上安裝更新之後停用 EXPORT 加密的指示。

頁面產生的 2015-03-23 16：56Z-07：00。