Windows NTLM篡改缝隙安全公告

颁布功夫 2019-06-12

缝隙编号和级别


CVE编号：CVE-2019-1040，危险级别：中危，CVSS分值：厂商自评：5.3，官方未评定


影响版本


受影响的版本


Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1703 for 32-bit Systems
Windows 10 Version 1703 for x64-based Systems
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for ARM64-based Systems
Windows 10 Version 1709 for x64-based Systems
Windows 10 Version 1803 for 32-bit Systems
Windows 10 Version 1803 for ARM64-based Systems
Windows 10 Version 1803 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows 10 Version 1903 for x64-based Systems
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows RT 8.1
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1803 (Server Core Installation)

Windows Server, version 1903 (Server Core installation)


缝隙概述


6月11日，微软官方颁布缝隙CVE-2019-1040的布告。


该缝隙存在于Windows认证机造中。傍边间人攻击者可能成功绕过NTLM MIC（新闻齐全性查抄）�；な�，Microsoft Windows中存在篡改缝隙。成功利用此缝隙的攻击者能够获得降级NTLM安全职能的能力。要利用此缝隙，攻击者必要篡改NTLM互换。而后，攻击者能够批改NTLM数据包的标志，而不会使署名无效。


攻击者通过利用该缝隙可造成多种分歧的风险。其中，最严沉风险为：通过利用该缝隙，攻击者在仅有一个通常域账号的情况下可远程节造 Windows 域内的任何机械，蕴含域控服务器。


缝隙验证


暂无POC/EXP。


建复建议


微软官方已推出更新补丁，请在所有受影响的 Windows 客户端、服务器下载安


装更新：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1040。装置结束后需沉启服务器。


其他加固措施：


强烈建议通过装置官方补丁的方式对缝隙进行建复。对于无法装置补丁的服务器，可通过以下加固措施对此缝隙的某些利用方式进行适当缓解。（把稳，这些加固措施并没有建复缝隙，只是针对该缝隙可能存在的一些利用方式进行缓解。这些缓解措施有可能被高级此外攻击者绕过。）


开启所有沉要服务器的强造 SMB 署名职能

（在 Windows 域环境下，默认只有域控服务器开启了强造 SMB 署名）


启用所有域控服务器的强造 LDAPS Channel Binding 职能

（此职能默认不启用。启用后有可能造成兼容性问题。）


启用所有域控服务器的强造 LDAP Signing 职能

（此职能默认不启用。启用后有可能造成兼容性问题。）


开启所有沉要服务器（好比所有 Exchange 服务器）上有关利用的Channel Binding 职能（如 IIS 的 Channel Binding 职能）


参考链接


https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1040