Mircrosoft Windows远程桌面协议远程代码可执行漏洞

发布日期：2012-03-14

CVE ID：CVE-2012-0002

受影响的软件及系统：
====================
Windows XP Service Pack 3
Windows XP Professional x64 Edition Service Pack 2
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 with SP2 for Itanium-based Systems
Windows Vista Service Pack 2
Windows Vista x64 Edition Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for Itanium-based Systems Service Pack 2
Windows 7 for 32-bit Systems and Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems and Windows 7 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems and Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for Itanium-based Systems and Windows Server 2008 R2 for Itanium-based Systems Service Pack 1

综述：
======
Microsoft Windows操作系统是目前使用最广泛的操作系统之一，其远程桌面协议（Remote Desktop Protocol）被广泛用于用户远程管理计算机。近期在Windows操作系统的远程桌面协议中（Remote Desktop Protocol）被发现存在一个远程代码可执行漏洞。

由于Windows操作系统的广泛的流行程度，而且此漏洞影响全部版本的Windows操作系统，因此需要引起相关用户的高度重视。目前软件厂商已经发布了升级补丁修复此问题，请相关用户进行补丁更新。

分析：
======
远程桌面协议（Remote Desktop Protocol）被设计用于允许用户和其远程计算机建立虚拟会话，从而允许用户在本地计算机上处理远程计算机上的数据和应用。

在Windows XP 、Windows Server 2003 以及未开启网络级别身份验证（Network Level Authentication）的Windows Vista、Windows Server 2008和Windows 7中，只要操作系统开启Remote Desktop Protocol (RDP)服务，远程攻击者在未经认证的情况下往服务器发送畸形恶意的数据包，便可以以系统权限或者NET SERVICE权限执行任意命令。

漏洞发生在Windows操作系统的远程桌面协议（Remote Desktop Protocol）在处理一系列畸形数据包时，对某个对象未正确初始化或者未正确释放，从而最终导致攻击者通过利用漏洞在未经认证或者认证的情况下取得远程计算机的控制权。

在开启网络级别身份验证（Network Level Authentication）的Windows Vista、Windows Server 2008和Windows 7中，远程攻击者需要以合法账户登录，才能发动攻击，远程执行任意命令。

解决方法：
==========
Windows用户可以采用下面几种临时解决方案来减少漏洞威胁：

1. 在Windows系统中默认关闭远程桌面协议（Remote Desktop Protocol），不开启远程桌面协议（Remote Desktop Protocol）可不受漏洞影响。在Windows操作系统中，可禁用如下服务：Terminal Services, Remote Desktop, Remote Assistance, Windows Small Business Server 2003 Remote Web Workplace feature。

2. 可配置防火墙过滤来自非法用户向3389端口的请求。

3. 在Windows Vista、Windows Server 2008和Windows 7上开启Network Level Authentication。在远程桌面设置中，选择“仅允许运行使用网络级别身份验证的远程桌面的计算机连接”。注意：开启网络级别身份验证之后，不支持CredSSP协议的客户端将无法正常连接远程桌面。Windows XP SP3支持CredSSP协议，但默认没有开启，需要手工开启后才能正常连接，可参考：http://support.microsoft.com/kb/951608

厂商状态：
==========
厂商已经发布了针对此漏洞的安全公告MS12-020和系统补丁，开启windows自动更新服务的用户系统会自动打上补丁，未开启自动更新服务的用户可以到厂商的相关页面下载最新补丁：
http://technet.microsoft.com/zh-cn/security/bulletin/ms12-020

附加信息：
==========
http://technet.microsoft.com/zh-cn/security/bulletin/ms12-020
http://www.nsfocus.net/index.php?act=alert&do=view&aid=121

声 明
==========

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

关于绿盟科技
============

绿盟科技（NSFOCUS Co., Ltd.）是中国网络安全领域的领导企业，致力于网络和系统安全问题的研究、高端网络安全产品的研发、销售与网络安全服务，在入侵检测/保护、远程评估、 DDoS攻击防护等方面提供具有国际竞争能力的先进产品，是国内最具安全服务经验的专业公司。有关绿盟科技的详情请参见： http://www.nsfocus.com

© 2024 绿盟科技