Microsoft har lappet et kritisk "wormable"-sårbarhet i Windows DNS Server

Microsoft har annonsert en ny oppdatering som løser en kritisk sårbarhet i Windows DNS Server som er klassifisert som en "wormable" sårbarhet og har en CVSS-grunnscore på 10.0.

Wormable sårbarheter har potensial til å spre seg via skadelig programvare mellom sårbare datamaskiner uten brukerinteraksjon. Windows DNS Server er en kjernenettverkskomponent. Selv om dette sikkerhetsproblemet foreløpig ikke er kjent for å brukes i aktive angrep, er det viktig at kunder bruker Windows-oppdateringer for å løse dette sikkerhetsproblemet så snart som mulig.

Det korrigerte sikkerhetsproblemet, CVE-2020-1350, er beskrevet av Microsoft som følger.

Det finnes et sikkerhetsproblem med ekstern kjøring av kode i Windows Domain Name System-servere når de ikke klarer å håndtere forespørsler på riktig måte. En angriper som lykkes med å utnytte sikkerhetsproblemet, kan kjøre vilkårlig kode i sammenheng med den lokale systemkontoen. Windows-servere som er konfigurert som DNS-servere er utsatt for dette sikkerhetsproblemet.

For å utnytte sikkerhetsproblemet kan en uautentisert angriper sende ondsinnede forespørsler til en Windows DNS-server.

Oppdateringen adresserer sikkerhetsproblemet ved å endre hvordan Windows DNS-servere håndterer forespørsler.

Kunder med automatiske oppdateringer slått på trenger ikke foreta seg noen ekstra handling, sier Microsoft. De oppførte patcher vil fikse det når det er installert.

Hvis oppdateringen ikke er tilgjengelig, er det mulig å minske sårbarheten med en registerjustering.

For å omgå denne sårbarheten,

Gjør følgende registerendring for å begrense størrelsen på den største innkommende TCP-baserte DNS-svarpakken som er tillatt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters

TcpReceivePacketSize

Verdi = 0xFF00

Merk Du må starte DNS-tjenesten på nytt for at registerendringen skal tre i kraft.

• Standardverdien (også maks) = 0xFFFF
• Den anbefalte verdien = 0xFF00 (255 byte mindre enn maks.)

Etter at løsningen er implementert, vil ikke en Windows DNS-server kunne løse DNS-navn for sine klienter når DNS-svaret fra oppstrømsserveren er større enn 65280 byte.