Microsoft 安全公告 MS14-062 - 重要

消息队列服务中的漏洞可能允许特权提升 (2993254)

发布日期: 2014 年 10 月 14 日

版本: 1.0

一般信息

摘要

此安全更新可解决 Microsoft Windows 中一个公开披露的漏洞。如果攻击者向消息队列服务发送特制输入/输出控制 (IOCTL) 请求,则该漏洞可能允许特权提升。成功利用此漏洞便可完全访问受影响的系统。默认情况下,消息队列组件不安装在任何受影响的操作系统版本上,而仅由具有管理特权的用户启用。只有手动启用“消息队列服务”组件的客户才可能受此问题的影响。

对于 Windows Server 2003 的所有受支持版本,此安全更新的等级为“重要”。有关详细信息,请参阅“受影响的软件”部分。

该安全更新通过修改消息队列服务在将输入数据传递到所分配的缓冲区之前对其进行验证的方式来解决漏洞。有关漏洞的详细信息,请参阅本公告后面特定漏洞的“常见问题 (FAQ)”小节。

建议。 大多数客户均启用了自动更新,他们不必采取任何操作,因为此安全更新将自动下载并安装。有关自动更新中的特定配置选项的信息,请参阅 Microsoft 知识库文章 294871。对于未启用了自动更新的客户,可以使用打开或关闭自动更新中的的步骤启用自动更新。

对于管理员和企业安装,或者想要手动安装此安全更新的最终用户(包括未启用自动更新的客户),Microsoft 建议客户尽早使用更新管理软件来应用此更新,或者使用 Microsoft Update 服务检查更新。更新也可以通过本公告“受影响的软件”表中的下载链接获取。

有关更多指导,请参阅本公告中的“检测和部署工具及指导”部分。

知识库文章

  • 知识库文章2993254
  • 文件信息: 是
  • SHA1/SHA2 哈希: 是
  • 已知问题: 无

受影响的软件

以下软件版本会受到影响。未列出的版本的支持生命周期已结束或者不受影响。要确定软件版本的技术支持生命周期,请参阅 Microsoft 技术支持生命周期

操作系统

最大安全影响

综合严重等级

替代的更新

Windows Server 2003

Windows Server 2003 Service Pack 2
(2993254)

特权提升

重要

MS09-040 中的 971032

Windows Server 2003 x64 Edition Service Pack 2
(2993254)

特权提升

重要

MS09-040 中的 971032

Windows Server 2003 SP2(用于基于 Itanium 的系统)
(2993254)

特权提升

重要

MS09-040 中的 971032

更新常见问题

我正在使用本安全公告中讨论的软件的较旧版本。我该怎么办?
已对本公告中列出的受影响的软件进行测试,以确定受到影响的版本。其他版本的支持生命周期已结束。有关产品生命周期的详细信息,请参阅 Microsoft 产品技术支持生命周期网站。

使用该软件的较旧版本的客户应优先考虑迁移到受支持的版本,以防止可能会受到新出现漏洞的影响。要确定您的软件版本的技术支持生命周期,请参阅选择一项产品以获取生命周期信息。有关这些软件版本的 Service Pack 的详细信息,请参阅Service Pack 生命周期支持策略

如果用户需要获得较旧软件的定制支持,则必须与其 Microsoft 客服小组代表、其技术客户经理或适当的 Microsoft 合作伙伴代表联系以了解定制支持选项。没有联合合同、优先支持合同或授权合同的客户可与其当地的 Microsoft 销售分支机构联系。有关联系信息,请参阅 Microsoft Worldwide Information 网站,然后选择国家/地区以查看电话号码列表。在拨打电话时,请找当地的“企业技术咨询支持服务”销售经理进行洽谈。有关详细信息,请参阅 Microsoft 技术支持生命周期策略常见问题

严重等级和漏洞标识符

以下严重等级假设漏洞的可能的最大影响。有关此安全公告发布 30 天内,漏洞利用的安全等级和安全影响的可能性的信息,请参阅 10 月份公告摘要中的利用指数。有关详细信息,请参阅 Microsoft 利用指数

按受影响软件列出的漏洞严重等级和最大安全影响

受影响的软件

MQAC 任意写入特权提升漏洞 - CVE-2014-4971

综合严重等级

Windows Server 2003

Windows Server 2003 Service Pack 2
(2993254)

重要
特权提升

重要

Windows Server 2003 x64 Edition Service Pack 2
(2993254)

重要
特权提升

重要

Windows Server 2003 SP2(用于基于 Itanium 的系统)
(2993254)

重要
特权提升

重要

MQAC 任意写入特权提升漏洞 - CVE-2014-4971

Microsoft 消息队列 (MSMQ) 服务中存在一个漏洞,可能允许攻击者在目标系统上提升特权。

要在“常见漏洞和披露”列表中以标准条目查看此漏洞,请参阅 CVE-2014-4971

缓解因素

缓解是指一种设置、通用配置或者一般的最佳实践,它以默认状态存在,能够降低利用漏洞的严重性。以下缓解因素在您遇到的情形中可能会有所帮助:

  • 默认情况下,消息队列组件不安装在任何受影响的操作系统版本上,而仅由具有管理特权的用户启用。只有手动启用“消息队列服务”组件的客户才可能受此问题的影响。
  • 攻击者必须拥有有效的登录凭据并能本地登录才能利用此漏洞。匿名用户无法利用此漏洞,也无法以远程方式利用此漏洞。

变通办法

变通办法是指一种设置或配置更改,它不能从根本上纠正漏洞,但有助于在应用更新之前封堵已知的攻击源。Microsoft 已测试了以下变通方法,并在讨论中指明了变通方法是否会降低功能性:

禁用消息队列服务:

  • 交互式

    禁用消息队列服务将帮助防止受影响的系统遭受尝试利用此漏洞进行的攻击。要禁用消息队列服务,请按照以下步骤执行操作:

    1. 单击“开始”,然后单击“控制面板”。或者,指向“设置”,然后单击“控制面板”。
    2. 双击“管理工具”。或者,单击“切换到经典视图”,然后双击“管理工具”。
    3. 双击“服务”。
    4. 双击“消息队列”。
    5. 在“启动类型”列表中,单击“禁用”。
    6. 单击“停止”,然后单击“确定”。
  • 按组策略:

    通过使用“组策略”设置禁用消息队列服务。您可以通过使用 Microsoft Windows 2000 或 Windows Server 2003 域环境中的组策略对象功能,在本地、站点、域或组织单位级别上禁用此服务的启动。

    注意 您也可以查看《Windows Server 2003 安全指南》。此指南包含有关如何禁用服务的信息。 有关组策略的详细信息,请访问以下 Microsoft 网站:

  • 您也可以通过在命令提示符(Windows XP 中及 Microsoft Windows 2000 的资源工具包中均有提供)处使用以下命令来停止和禁用 MSMQ 服务:

    Sc stop MSMQ & sc config MSMQ start= disabled
    

如何撤消变通方法: 根据以上步骤将“启动类型”设置为“自动”并启动服务。

常见问题

这些漏洞的影响范围有多大?
这是一个特权提升漏洞。

造成此漏洞的原因是什么?
当消息队列服务通过无意允许覆盖来不正确地处理内存中的对象时,会导致该漏洞。

什么是 Microsoft 消息队列 (MSMQ)?
Microsoft 消息队列 (MSMQ) 技术允许在不同时间运行的应用程序越过可能暂时脱机的异构网络和系统进行通信。应用程序将消息发送到队列并从队列读取消息。消息队列服务提供有保证的消息传递、高效路由、安全性和基于优先级的消息传递。对于异步和同步消息传递方案,都可用它来实施解决方案。有关详细信息,请参阅 Microsoft 消息队列产品文档。

什么是输入/输出控制 (IOCTL)?
Windows 为应用程序提供该能力,以便直接请求设备驱动程序的服务。完成该操作的界面称为输入/输出控制 (IOCTL)。

攻击者可能利用此漏洞执行什么操作?
成功利用此漏洞的攻击者可以完全控制受影响的系统。攻击者可随后安装程序;查看、更改或删除数据;或者创建拥有完全用户权限的新帐户。

攻击者如何利用此漏洞?
攻击者可能通过向消息队列服务发送特制的 IOCTL 请求来利用此漏洞。成功利用此漏洞便可完全访问受影响的系统。

受此漏洞威胁最大的系统有哪些?
运行消息队列服务的工作站和服务器受此漏洞的威胁最大。

此更新有什么作用?
该更新通过修改 MSMQ 服务在将输入数据传递到所分配的缓冲区之前对其进行验证的方式来解决漏洞。

发布此安全公告时,此漏洞是否已公开披露?
是。此漏洞已公开披露。已为此漏洞分配了常见漏洞和披露号码 CVE-2014-4971

发布此安全公告时,Microsoft 是否收到任何有关此漏洞已被利用的报告?
否。在最初发布此安全公告时,Microsoft 未收到任何表明此漏洞已公开用于攻击用户的信息。

检测和部署工具及指导

许多资源可帮助管理员部署安全更新。

  • 管理员可使用 Microsoft Baseline Security Analyzer (MBSA) 在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。
  • Windows Server Update Services (WSUS)、Systems Management Server (SMS) 和 System Center Configuration Manager 帮助管理员分发安全更新。
  • Application Compatibility Toolkit 随附的更新兼容性评估程序组件针对安装的应用程序协助简化 Windows 更新的测试和验证。

有关可用的这些工具和其他工具的信息,请参阅 IT 专业人员安全工具

安全更新部署

Windows Server 2003(所有版本)

参考表

下表包含此软件的安全更新信息。








安全更新文件名

对于 Windows Server 2003 所有受支持的 32 位版本:
WindowsServer2003-KB2993254-x86-ENU.exe


对于 Windows Server 2003 所有受支持的基于 x64 的版本:
WindowsServer2003-KB2993254-x64-ENU.exe


对于 Windows Server 2003 所有受支持的基于 Itanium 的版本:
WindowsServer2003-KB2993254-ia64-ENU.exe

安装开关

请参阅 Microsoft 知识库文章 934307

更新日志文件

KB2993254.log

重新启动要求

是,应用此安全更新后必须重新启动系统。

删除信息

使用“控制面板”中的“添加或删除程序”项或 %Windir%\$NTUninstallKB2993254$\Spuninst 文件夹中的 Spuninst.exe 实用程序

文件信息

请参阅 Microsoft 知识库文章 2993254

注册表项验证

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB2993254\Filelist

其他信息

Microsoft Active Protections Program (MAPP)

为改进客户的安全保护,Microsoft 在发布每月安全更新之前将向主要的安全软件供应商提供漏洞信息。然后,安全软件供应商可以使用该漏洞信息通过其安全软件或者设备向客户提供更新的保护,例如防病毒、基于网络的入侵检测系统或者基于主机的入侵防止系统。要确定是否可从安全软件供应商处得到活动保护,请转到计划合作伙伴(在 Microsoft Active Protections Program (MAPP) 合作伙伴中列出)提供的活动保护网站。

支持

如何获取此安全更新的帮助和支持

免责声明

Microsoft 知识库中的信息“按原样”提供,没有任何形式的担保。Microsoft 不作任何明示或暗示保证,包括对适销性和针对特定目的的适用性的保证。Microsoft Corporation 或其供应商不对任何损害(包括直接的、间接的、偶然的、必然的损害,商业利润损失,或特殊损害)承担任何责任,即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任,因此上述限制可能不适用。

修订版本

  • V1.0(2014 年 10 月 14 日): 已发布公告。

页面生成时间 2014-10-07 14:53Z-07:00。