Microsoft 安全性布告欄 MS15-020 - 重大

Microsoft Windows 中的弱點可能會允許遠端程式代碼執行（3041836）

發佈時間： 2015 年 3 月 10 日 |更新日期：2015年3月10日

版本： 1.1

執行摘要

此安全性更新可解決 Microsoft Windows 中的弱點。 如果攻擊者成功說服用戶流覽至特製網站、開啟特製檔案，或流覽至包含特製 DLL 檔案的工作目錄，弱點可能會允許遠端程式代碼執行。

此安全性更新會針對所有支援的 Microsoft Windows 版本評為「重大」。 如需詳細資訊，請參閱 受影響的軟體 一節。

安全性更新會修正 Microsoft Text Services 如何處理記憶體中的物件，以及 Microsoft Windows 如何處理 DLL 檔案載入，以解決弱點。 如需弱點的詳細資訊，請參閱 弱點資訊 一節。

如需此更新的詳細資訊，請參閱 Microsoft 知識庫文章3041836。

受影響的軟體

下列軟體版本或版本受到影響。 未列出的版本或版本要麼超過其支援生命周期，要麼不會受到影響。 若要判斷軟體版本或版本的支援生命週期，請參閱 Microsoft 支援服務 生命週期。

注意 這些更新適用於 Windows Technical Preview 和 Windows Server Technical Preview。 鼓勵執行這些操作系統的客戶套用可透過 Windows Update 取得的更新。

^[1]此更新只能透過 Windows Update 取得 。

嚴重性評等和弱點標識碼

下列嚴重性評等假設弱點的潛在最大影響。 如需有關此安全性布告欄發行的 30 天內有關弱點嚴重性評等和安全性影響之惡意探索性的資訊，請參閱 3 月公告摘要中的惡意探索索引。

弱點資訊

WTS 遠端程式代碼執行弱點 - CVE-2015-0081

當 Windows Text Services 處理記憶體中的物件時，存在遠端程式代碼執行弱點。 成功惡意探索此弱點的攻擊者可以在登入使用者的內容中執行任意程序代碼。

若要利用此弱點，攻擊者必須說服用戶流覽至特製的網站，或開啟特別製作的檔案。 更新會修正 Microsoft Text Services 如何處理記憶體中的物件，以解決弱點。

Microsoft 透過協調的弱點洩漏收到此弱點的相關信息。 當此安全性公告最初發佈時，Microsoft 未收到任何資訊，以指出此弱點已公開用來攻擊客戶。

緩和因素

Microsoft 尚未識別此弱點的任何 緩和因素 。

因應措施

Microsoft 尚未識別此弱點的任何 因應措施 。

DLL 植入遠端程式代碼執行弱點 - CVE-2015-0096

當 Microsoft Windows 處理 DLL 檔案載入時，存在遠端程式代碼執行弱點。 成功利用此弱點的攻擊者可以完全控制受影響的系統。 攻擊者接著可以完整的使用者權限安裝程式、檢視變更、刪除資料或建立新的帳戶。 帳戶設定為具有較少使用者權限的使用者，與使用系統管理使用者權限的使用者相比，所受的影響可能較小。

當 Windows 剖析快捷方式的方式允許在顯示特製快捷方式的圖示時執行惡意代碼時，就會有弱點。 若要讓惡意探索的弱點，用戶必須使用 Windows 檔案總管來流覽至惡意網站、遠端網路共用或本機工作目錄（請注意，流覽至工作目錄的其他方法，例如透過cmd.exe或powershell.exe，請勿觸發惡意探索）。 此外，透過USB卸除式磁碟驅動器可能會惡意探索此弱點，特別是在已啟用 AutoPlay 的系統上。

當使用者流覽至惡意目錄之後，其所包含的特製 DLL 會載入記憶體中，讓攻擊者在登入使用者的安全性內容中控制受影響的系統。 更新會修正 Microsoft Windows 處理 DLL 檔案載入的方式，以解決弱點。

Microsoft 透過協調的弱點洩漏收到此弱點的相關信息。 當此安全性公告最初發佈時，Microsoft 未收到任何資訊，以指出此弱點已公開用來攻擊客戶。

緩和因素

Microsoft 尚未識別此弱點的任何 緩和因素 。

因應措施

下列 因應措施 可能對您的情況有所説明：

• 停用快捷方式的圖示顯示

  注意 請參閱 Microsoft 知識庫文章2286198 ，以使用自動化 的 Microsoft 修正解決方案 來啟用或停用此因應措施。 此修正程式解決方案需要在完成時重新啟動，才能生效。 此修正方案會部署因應措施，因而對使用者造成相同影響。 建議您在部署此修正解決方案之前，仔細檢閱 KB 文章。

  注意 使用註冊表編輯器不正確可能會導致嚴重問題，而可能要求您重新安裝操作系統。 Microsoft 無法保證可以解決因不當使用登錄編輯程式所造成的問題。 請自行承擔使用登錄編輯程式的風險。 如需如何編輯登錄的資訊，請在註冊表編輯器中檢視「變更機碼和值」說明主題（Regedit.exe），或在Regedt32.exe中檢視「在登錄中新增和刪除資訊」和「編輯登錄數據」說明主題。

  1. 按兩下 [開始]，按兩下 [執行]，在 [開啟] 方塊中輸入 Regedit，然後按兩下 [確定]。

  2. 找出並選取下列登錄機碼：

         HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
     

  3. 單擊 [ 檔案] 功能表，然後按兩下 [ 導出]。

  4. 在 [ 導出登錄檔 ] 對話框中，輸入 LNK_Icon_Backup.reg ，然後按兩下 [ 儲存]。
     注意 這預設會在 [我的文檔] 資料夾中建立此登錄機碼的備份。

  5. 在註冊表編輯器的右窗格中選取值 （預設值 ）。 按 Enter 鍵來編輯索引鍵的值。 刪除值，使值空白，然後按 Enter 鍵。

  6. 找出並選取下列登錄機碼：

         HKEY_CLASSES_ROOT\piffile\shellex\IconHandler
     

  7. 單擊 [ 檔案] 功能表，然後按兩下 [ 導出]。

  8. 在 [ 導出登錄檔 ] 對話框中，輸入 PIF_Icon_Backup.reg ，然後按兩下 [ 儲存]。
     注意 這預設會在 [我的文檔] 資料夾中建立此登錄機碼的備份。

  9. 在註冊表編輯器的右窗格中選取值 （預設值 ）。 按 Enter 鍵來編輯索引鍵的值。 刪除值，使值空白，然後按 Enter 鍵。

  10. 將所有用戶註銷並重新開啟，或重新啟動電腦。

因應措施的影響。 停用圖示無法針對快捷方式顯示，可防止在受影響的系統上惡意探索問題。 實作此因應措施時，系統可能會將大部分圖示顯示為「白色」默認物件圖示，這會影響可用性。 建議您系統管理員在部署之前徹底測試此因應措施。 複原因應措施時，所有圖示都會重新出現。

如何復原因應措施。

使用互動式方法：

1. 按兩下 [開始]，按兩下 [執行]，在 [開啟] 方塊中輸入 Regedit，然後按兩下 [確定]。
2. 單擊 [ 檔案] 功能表，然後按兩下 [ 匯入]。
3. 在 [ 匯入登錄檔 ] 對話框中，選取 [LNK_Icon_Backup.reg]，然後按兩下 [ 開啟]。
4. 單擊 [ 檔案] 功能表，然後按兩下 [ 匯入]。
5. 在 [ 匯入登錄檔 ] 對話框中，選取 [PIF_Icon_Backup.reg]，然後按兩下 [ 開啟]。
6. 結束註冊表編輯器，然後重新啟動計算機。  

將登入機碼值手動重設為預設值：

1. 按兩下 [開始]，按兩下 [執行]，在 [開啟] 方塊中輸入 Regedit，然後按兩下 [確定]。

2. 找出並按下列登入機碼：

       HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
   

3. 將登入機碼值重設為：

       {00021401-0000-0000-C000-000000000046}
   

4. 找出並按下列登入機碼：

       HKEY_CLASSES_ROOT\piffile\shellex\IconHandler
   

5. 將登入機碼值重設為：

       {00021401-0000-0000-C000-000000000046}
   

6. 重新啟動電腦

• 停用 WebClient 服務

  停用 WebClient 服務可藉由透過 Web Distributed Authoring 和 Versioning （WebDAV） 用戶端服務封鎖最有可能的遠端攻擊向量，協助保護受影響的系統免於嘗試惡意探索此弱點。 套用此因應措施之後，遠端攻擊者仍有可能成功利用此弱點，導致 Microsoft Office Outlook 在目標使用者的電腦或局域網路 （LAN） 上執行程式，但使用者會在從因特網開啟任意程式之前收到確認提示。

  若要停用 WebClient 服務，請遵循下列步驟：

  1. 按兩下 [ 開始]，按兩下 [執行]，輸入 Services.msc ，然後按兩下 [ 確定]。
  2. 以滑鼠右鍵按兩下 [WebClient 服務]，然後選取 [ 屬性]。
  3. 將 [啟動類型] 變更為 [已停用]。 如果服務正在執行，請按兩下 [ 停止]。
  4. 按兩下 [ 確定 ]，然後結束管理應用程式。  

因應措施的影響。 停用WebClient服務時，不會傳輸Web Distributed Authoring and Versioning （WebDAV） 要求。 此外，明確相依於 Web 用戶端服務的任何服務都不會啟動，而且會在系統記錄檔中記錄錯誤訊息。 例如，WebDAV 共用將無法從用戶端電腦存取。

如何複原因應措施：

若要重新啟用 WebClient 服務，請遵循下列步驟：

1. 按兩下 [ 開始]，按兩下 [執行]，輸入 Services.msc ，然後按兩下 [ 確定]。
2. 以滑鼠右鍵按兩下 [WebClient 服務]，然後選取 [ 屬性]。
3. 將 [啟動類型] 變更為 [ 自動]。 如果服務未執行，請按兩下 [ 啟動]。
4. 按兩下 [ 確定 ]，然後結束管理應用程式。

安全性更新部署

如需安全性更新部署資訊，請參閱執行摘要中參考的 Microsoft 知識庫文章。

通知

Microsoft 可辨識安全性社群中協助我們透過協調弱點洩漏保護客戶的工作。 如需詳細資訊，請參閱通知。

免責聲明

Microsoft 知識庫中提供的資訊會「如實」提供，而不會提供任何類型的擔保。 Microsoft 不表示明示或隱含的所有擔保，包括適銷性及適合特定用途的擔保。 任何情況下，Microsoft Corporation 或其供應商都不得承擔任何損害責任，包括直接、間接、附帶、衍生性、業務利潤損失或特殊損害，即使 Microsoft Corporation 或其供應商已獲告知可能遭受此類損害。 某些州不允許排除或限制衍生性或附帶性損害的責任，因此可能不適用上述限制。

修訂記錄

• V1.0 （2015 年 3 月 10 日）： 公告發佈。
• V1.1 （2015 年 3 月 10 日）： 已修訂公告，以進一步說明 DLL 種植遠端程式代碼執行弱點的攻擊向量（CVE-2015-0096）。

頁面產生的 2015-03-11 10：30Z-07：00。