新闻详情

Windows DNS曝出重大漏洞，影响程度或超“永恒之蓝”

3610

发表时间：2020-07-17 17:55作者：ZDNS

Windows DNS再爆重大漏洞

据媒体报道，微软近日发出警告，Windows DNS服务器存在重大漏洞，它可能会被无操作授权的网络攻击者利用，并以此向Windows DNS服务器发送恶意请求来攻击用户的系统。该漏洞可基于Windows DNS Server默认配置触发，未经身份验证的攻击者可向目标Windows DNS发送恶意构造请求，利用该漏洞提升权限并执行代码。

此漏洞与Windows操作系统和Server软件上的域名系统服务微软 Windows DNS 有关，其编号为CVE-2020-1350。该漏洞被发现已经存在17年之久，影响2003年到2019年的所有Windows Server版本。

影响程度或超“永恒之蓝”

这一漏洞被通用漏洞评分系统（Common Vulnerability Scoring System，CVSS，为评估计算机安全问题的产业标准）评为10分（满分10分）。对比曾经肆虐全球的“永恒之蓝”，评分也只有8.5分，可见问题的严重性。而且值得一提的是，利用“永恒之蓝”漏洞的比特币勒索病毒也与DNS系统有关——以DNS解析结果为触发条件。

这一漏洞之所以有如此巨大的潜在威胁，一方面因为它是可蠕虫（自传播）的，也就是能够在无需用户交互的情况下传播到易受攻击的机器中，因此可能攻陷企业的整个网络。另一方面，攻击者可以利用该漏洞提升权限并执行代码，只要一台Windows Server出现破口，即可成为超级传染者，几分钟内就会感染内部网络上的其他机器。因此，每一个使用含有上述Windows DNS漏洞系统的客户，如果不进行彻底处理，都会面临重大安全风险，严重可能造成整个企业网络的彻底破坏，危及整个基础设施。

针对此漏洞的处置建议

建议立即升级官方最新补丁，但如果因某些原因不能升级，也可采取下列步骤进行临时防护措施：

1、注册表项中添加TcpReceivePacketSize键值

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters

DWORD = TcpReceivePacketSize

Value = 0xFF00

2、重启DNS服务

这已经不是Windows DNS第一次曝出安全漏洞：

CVE-2020-0993 Microsoft Windows DNS拒绝服务漏洞

CVE-2019-0811 Microsoft Windows DNS Server拒绝服务漏洞

CVE-2018-8320 Microsoft Windows DNS Global Blocklist安全绕过漏洞

CVE-2018-8304 Microsoft Windows DNSAPI远程拒绝服务漏洞

…………

DNS是重要的网络基础设施，对于Windows的用户来讲，仅靠升级补丁这种事后补救的方式，是不能完全满足DNS安全建设需求的。而在行业信息化建设标准中，对于域名解析服务就建议权威/递归分离、域名服务与其他服务分开。所以从系统架构层面，将DNS模块解耦，进行独立部署，是进一步解决此类问题的关键，而域名国家工程研究中心（ZDNS）助力国内一些大型企业、政府机构已经或者正在实施这样的部署方案，提升DNS系统安全。

欢迎拨打400-6688-876了解方案详情。