漏洞描述
近日，微軟官方發(fā)布了一個(gè)非例行的預(yù)警通告。通告描述有兩個(gè)漏洞存在于Windows Adobe Type Manager庫(kù)處理Adobe Type 1 PostScript字體模塊中，可能導(dǎo)致代碼執(zhí)行。從通告中可知該漏洞已經(jīng)被用于有限的在野攻擊中，攻擊者可以通過多種方式利用此漏洞：例如誘導(dǎo)用戶打開特制文檔或通過在Windows預(yù)覽窗格中查看來執(zhí)行漏洞攻擊。由于微軟會(huì)在稍后四月的補(bǔ)丁日才對(duì)該漏洞進(jìn)行修復(fù)，所以禹宏信安發(fā)布該漏洞通告提醒用戶通過適當(dāng)?shù)木徑獯胧┳龊锰崆胺婪丁?/p>
漏洞編號(hào)
ADV200006
漏洞危害
攻擊者可以通過構(gòu)造包含惡意的字體文件，誘使用戶打開特制文檔或在Windows預(yù)覽窗格中查看它，可能導(dǎo)致任意代碼執(zhí)行。
漏洞等級(jí)
高危
受影響版本
Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based? Systems
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for ARM64-based? Systems
Windows 10 Version 1709 for x64-based? Systems
Windows 10 Version 1803 for 32-bit Systems
Windows 10 Version 1803 for ARM64-based? Systems
Windows 10 Version 1803 for x64-based? Systems
Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1809 for ARM64-based? Systems
Windows 10 Version 1809 for x64-based? Systems
Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for ARM64-based? Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for ARM64-based? Systems
Windows 10 Version 1909 for x64-based? Systems
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack? 1
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows RT 8.1
Windows Server 2008 for 32-bit Systems? Service Pack 2
Windows Server 2008 for 32-bit Systems? Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based? Systems Service Pack 2
Windows Server 2008 for x64-based Systems? Service Pack 2
Windows Server 2008 for x64-based Systems? Service Pack 2 (Server Core installation)
Windows Server 2008 R2 for Itanium-Based? Systems Service Pack 1
Windows Server 2008 R2 for x64-based? Systems Service Pack 1
Windows Server 2008 R2 for x64-based? Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core? installation)
Windows Server 2016
Windows Server 2016 (Server Core? installation)
Windows Server 2019
Windows Server 2019 (Server Core? installation)
修復(fù)方案
目前暫時(shí)沒有相關(guān)的補(bǔ)丁發(fā)布，微軟當(dāng)前提供了多個(gè)相關(guān)的緩解措施，但是相關(guān)操作都會(huì)有一些不良后果，是否使用需要結(jié)合自己業(yè)務(wù)進(jìn)行判斷。
- 在Windows資源管理器中禁用預(yù)覽窗格和詳細(xì)信息窗格
在Windows資源管理器中禁用“預(yù)覽”和“詳細(xì)信息”窗格將阻止在Windows資源管理器中自動(dòng)顯示OTF字體。雖然這可以防止在Windows資源管理器中查看惡意文件，但不能阻止經(jīng)過身份驗(yàn)證的本地用戶運(yùn)行特制程序來利用此漏洞。
Windows Server 2008，Windows 7，Windows Server 2008 R2，Windows Server 2012，Windows Server 2012 R2和Windows 8.1中禁用這些窗格，請(qǐng)執(zhí)行以下步驟：
- 打開Windows資源管理器，單擊“組織”，然后單擊“布局”。
- 清除“詳細(xì)信息”窗格和“預(yù)覽”窗格的菜單選項(xiàng)。
- 單擊“整理”，然后單擊“文件夾和搜索選項(xiàng)”。
- 單擊查看選項(xiàng)卡。
- 在“高級(jí)設(shè)置”下，選中“始終顯示圖標(biāo)，從不顯示縮略圖”框。
- 關(guān)閉Windows資源管理器的所有打開的實(shí)例，以使更改生效。
Windows Server 2016，Windows 10和Windows Server 2019，請(qǐng)執(zhí)行以下步驟：
- 打開Windows資源管理器，單擊“查看”選項(xiàng)卡。
- 清除“詳細(xì)信息”窗格和“預(yù)覽”窗格的菜單選項(xiàng)。
- 單擊選項(xiàng)，然后單擊更改文件夾和搜索選項(xiàng)。
- 單擊查看選項(xiàng)卡。
- 在“高級(jí)設(shè)置”下，選中“始終顯示圖標(biāo)，從不顯示縮略圖”框。
- 關(guān)閉Windows資源管理器的所有打開的實(shí)例，以使更改生效。
解決方法的影響：
Windows資源管理器不會(huì)自動(dòng)顯示OTF字體。
通過以下操作撤銷以上操作。
Windows Server 2008，Windows 7，Windows Server 2008 R2，Windows Server 2012，Windows Server 2012 R2和Windows 8.1重新啟用預(yù)覽和詳細(xì)信息窗格，請(qǐng)執(zhí)行以下操作：
- 打開Windows資源管理器，單擊“組織”，然后單擊“布局”。
- 選擇詳細(xì)信息窗格和預(yù)覽窗格菜單選項(xiàng)。
- 單擊“整理”，然后單擊“文件夾和搜索選項(xiàng)”。
- 單擊查看選項(xiàng)卡。
- 在“高級(jí)設(shè)置”下，清除“始終顯示圖標(biāo)，從不縮略圖”框。
- 關(guān)閉Windows資源管理器的所有打開的實(shí)例，以使更改生效。
Windows Server 2016，Windows 10和Windows Server 2019重新啟用預(yù)覽和詳細(xì)信息窗格，請(qǐng)執(zhí)行以下操作：
- 打開Windows資源管理器，單擊“查看”選項(xiàng)卡。
- 選擇詳細(xì)信息窗格和預(yù)覽窗格菜單選項(xiàng)。
- 單擊選項(xiàng)，然后單擊更改文件夾和搜索選項(xiàng)。
- 單擊查看選項(xiàng)卡。
- 在“高級(jí)設(shè)置”下，清除“始終顯示圖標(biāo)，從不縮略圖”框。
- 關(guān)閉Windows資源管理器的所有打開的實(shí)例，以使更改生效。
- 禁用WebClient服務(wù)
禁用WebClient服務(wù)可以通過Web分布式創(chuàng)作和版本控制（WebDAV）客戶端服務(wù)阻止最可能的遠(yuǎn)程攻擊媒介，從而幫助保護(hù)受影響的系統(tǒng)免遭利用此漏洞的嘗試。應(yīng)用此替代方法后，成功利用此漏洞的遠(yuǎn)程攻擊者仍然有可能導(dǎo)致系統(tǒng)運(yùn)行位于目標(biāo)用戶計(jì)算機(jī)或局域網(wǎng)（LAN）上的程序，但是在從Windows Server 2003中打開任意程序之前，系統(tǒng)將提示用戶進(jìn)行確認(rèn)。
要禁用WebClient服務(wù)，請(qǐng)執(zhí)行以下步驟：
- 單擊開始，單擊運(yùn)行（或按鍵盤上的Windows鍵和R），鍵入msc，然后
- 單擊確定。
- 右鍵單擊WebClient服務(wù)，然后選擇屬性。
- 將啟動(dòng)類型更改為已禁用。如果服務(wù)正在運(yùn)行，請(qǐng)單擊“停止”。
- 單擊確定，然后退出管理應(yīng)用程序。
解決方法的影響：
禁用WebClient服務(wù)時(shí)，將不發(fā)送Web分布式創(chuàng)作和版本控制（WebDAV）請(qǐng)求。此外，任何明確依賴于WebClient服務(wù)的服務(wù)都不會(huì)啟動(dòng)，并且錯(cuò)誤消息將記錄在系統(tǒng)日志中。例如，將無法從客戶端計(jì)算機(jī)訪問WebDAV共享。
要重新啟用WebClient服務(wù)，請(qǐng)執(zhí)行以下步驟：
- 單擊開始，單擊運(yùn)行（或按鍵盤上的Windows鍵和R），鍵入msc，然后
- 單擊確定。
- 右鍵單擊WebClient服務(wù)，然后選擇屬性。
- 將啟動(dòng)類型更改為自動(dòng)。如果該服務(wù)未運(yùn)行，請(qǐng)單擊“?開始”。
- 單擊確定，然后退出管理應(yīng)用程序。
- 重命名DLL
從Windows 10版本1709開始的Windows 10安裝中不存在ATMFD.DLL。較新的版本沒有此DLL。有關(guān)更多信息，請(qǐng)參見緩解部分。
對(duì)于32位系統(tǒng)在管理命令提示符處輸入以下命令：
cd “%windir%\system32”
takeown.exe /f atmfd.dll
icacls.exe atmfd.dll /save atmfd.dll.acl
icacls.exe atmfd.dll /grant Administrators:(F)
rename atmfd.dll x-atmfd.dll
重新啟動(dòng)系統(tǒng)。
對(duì)于64位系統(tǒng)在管理命令提示符處輸入以下命令：
cd “%windir%\system32”
takeown.exe /f atmfd.dll
icacls.exe atmfd.dll /save atmfd.dll.acl
icacls.exe atmfd.dll /grant Administrators:(F)
rename atmfd.dll x-atmfd.dll
cd “%windir%\syswow64”
takeown.exe /f atmfd.dll
icacls.exe atmfd.dll /save atmfd.dll.acl
icacls.exe atmfd.dll /grant Administrators:(F)
rename atmfd.dll x-atmfd.dll
重新啟動(dòng)系統(tǒng)。
通過以下命令撤銷重命名操作。
對(duì)于32位系統(tǒng)在管理命令提示符處輸入以下命令：
cd “%windir%\system32”
rename x-atmfd.dll atmfd.dll
icacls.exe atmfd.dll /setowner “NT SERVICE\TrustedInstaller”
icacls.exe . /restore atmfd.dll.acl
重新啟動(dòng)系統(tǒng)。
對(duì)于64位系統(tǒng)在管理命令提示符處輸入以下命令：
cd “%windir%\system32”
rename x-atmfd.dll atmfd.dll
icacls.exe atmfd.dll /setowner “NT SERVICE\TrustedInstaller”
icacls.exe . /restore atmfd.dll.acl
cd “%windir%\syswow64”
rename x-atmfd.dll atmfd.dll
icacls.exe atmfd.dll /setowner “NT SERVICE\TrustedInstaller”
icacls.exe . /restore atmfd.dll.acl
重新啟動(dòng)系統(tǒng)。
- Windows 8.1或更低版本操作系統(tǒng)的可選過程（禁用ATMFD）
不正確地使用注冊(cè)表編輯器會(huì)導(dǎo)致嚴(yán)重的問題，可能需要您重新安裝操作系統(tǒng)。Microsoft無法保證可以解決由于注冊(cè)表編輯器使用不當(dāng)而導(dǎo)致的問題。使用注冊(cè)表編輯器需要您自擔(dān)風(fēng)險(xiǎn)。有關(guān)如何編輯注冊(cè)表的信息，請(qǐng)?jiān)谧?cè)表編輯器（Regedit.exe）中查看“更改鍵和值”幫助主題，或在Regedt32中查看“在注冊(cè)表中添加和刪除信息”和“編輯注冊(cè)表數(shù)據(jù)”幫助主題?？蓤?zhí)行程序。
手動(dòng)編輯系統(tǒng)注冊(cè)表：
- 以管理員身份運(yùn)行exe。
- 在注冊(cè)表編輯器中，導(dǎo)航到以下子項(xiàng)（或創(chuàng)建它）并將其DWORD值設(shè)置為
1：?HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\DisableATMFD, DWORD = 1
- 關(guān)閉注冊(cè)表編輯器，然后重新啟動(dòng)系統(tǒng)。
使用托管部署腳本：
- 創(chuàng)建一個(gè)名為ATMFD-disable.reg的文本文件，其中包含以下文本：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
“DisableATMFD”=dword:00000001
- 運(yùn)行exe。
- 在注冊(cè)表編輯器中，單擊“文件”菜單，然后單擊“導(dǎo)入”。
- 瀏覽并選擇您在第一步中創(chuàng)建的ATMFD-disable.reg文件。（請(qǐng)注意，如果未在您
期望的位置列出您的文件，請(qǐng)確保未自動(dòng)為該文件指定.txt文件擴(kuò)展名，或?qū)?duì)話
框的文件擴(kuò)展名參數(shù)更改為All Files）。
- 單擊“打開”，然后單擊“確定”關(guān)閉注冊(cè)表編輯器。
解決方法的影響：
依賴嵌入式字體技術(shù)的應(yīng)用程序?qū)o法正確顯示。禁用ATMFD.DLL可能會(huì)導(dǎo)致某些應(yīng)用程序使用OpenType字體而無法正常運(yùn)行。Microsoft Windows不會(huì)本地發(fā)布任何OpenType字體。但是，第三方應(yīng)用程序可以安裝它們，并且它們可能會(huì)受到此更改的影響。
通過以下操作撤銷以上操作。
Windows 8.1或更低版本操作系統(tǒng)的可選過程（啟用ATMFD）
手動(dòng)編輯系統(tǒng)注冊(cè)表：
- 以管理員身份運(yùn)行exe。
- 在注冊(cè)表編輯器中，導(dǎo)航到以下子項(xiàng)并將其DWORD值設(shè)置為
- 0：?HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\DisableATMFD, DWORD = 0
- 關(guān)閉注冊(cè)表編輯器，然后重新啟動(dòng)系統(tǒng)。
使用托管部署腳本：
- 創(chuàng)建一個(gè)名為ATMFD-enable.reg的文本文件，其中包含以下文本：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
“DisableATMFD”=dword:00000000
- 運(yùn)行exe。
- 在注冊(cè)表編輯器中，單擊“文件”菜單，然后單擊“導(dǎo)入”。
- 導(dǎo)航到并選擇您在第一步中創(chuàng)建的ATMFD-enable.reg文件。（請(qǐng)注意，如果未在
您期望的位置列出您的文件，請(qǐng)確保未自動(dòng)為該文件指定.txt文件擴(kuò)展名，或?qū)?duì)
話框的文件擴(kuò)展名參數(shù)更改為All Files）。
- 單擊“打開”，然后單擊“確定”關(guān)閉注冊(cè)表編輯器。
參考鏈接
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/adv200006