Microsoft a corrigé une vulnérabilité critique « wormable » dans Windows DNS Server

Microsoft a annoncé un nouveau correctif qui résout une vulnérabilité critique dans Windows DNS Server qui est classée comme une vulnérabilité « wormable » et a un score de base CVSS de 10.0.

Les vulnérabilités vers des vers ont le potentiel de se propager via des logiciels malveillants entre des ordinateurs vulnérables sans interaction de l'utilisateur. Windows DNS Server est un composant réseau de base. Bien que cette vulnérabilité ne soit actuellement pas connue pour être utilisée dans des attaques actives, il est essentiel que les clients appliquent les mises à jour Windows pour corriger cette vulnérabilité dès que possible.

La vulnérabilité corrigée, CVE-2020-1350, est décrite par Microsoft comme suit.

Une vulnérabilité d'exécution de code à distance existe dans les serveurs Windows Domain Name System lorsqu'ils ne parviennent pas à gérer correctement les demandes. Un attaquant qui parviendrait à exploiter la vulnérabilité pourrait exécuter du code arbitraire dans le contexte du compte système local. Les serveurs Windows configurés en tant que serveurs DNS sont exposés à cette vulnérabilité.

Pour exploiter la vulnérabilité, un attaquant non authentifié pourrait envoyer des requêtes malveillantes à un serveur DNS Windows.

La mise à jour corrige la vulnérabilité en modifiant la façon dont les serveurs DNS Windows traitent les demandes.

Les clients pour lesquels les mises à jour automatiques sont activées n'ont besoin de prendre aucune mesure supplémentaire, déclare Microsoft. Les correctifs répertoriés le réparera une fois installé.

Si la mise à jour n'est pas accessible, il est possible de atténuer la vulnérabilité avec un ajustement du Registre.

Pour contourner cette vulnérabilité,

Apportez la modification de registre suivante pour restreindre la taille du plus grand paquet de réponse DNS TCP entrant autorisé :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters

TcpReceivePacketSize

Valeur = 0xFF00

Noter Vous devez redémarrer le service DNS pour que la modification du registre prenne effet.

• La valeur par défaut (également max) = 0xFFFF
• La valeur recommandée = 0xFF00 (255 octets de moins que le maximum)

Une fois la solution de contournement mise en œuvre, un serveur DNS Windows ne pourra pas résoudre les noms DNS de ses clients lorsque la réponse DNS du serveur en amont dépasse 65 280 octets.