九游老哥云
【误差通告】Netlogon?特权提升误差（CVE-2020-1472）处置惩罚手册
2020-09-17
一. 误差概述
克日，九游老哥科技监测到外洋清静公司Secura果真了NetLogon特权提升误差（CVE-2020-1472）的详细信息与验证剧本，导致误差危害蓦地提升。攻击者需在与目的相同的局域网（LAN）上的盘算机举行使用，未经身份验证的攻击者通过NetLogon远程协议（MS-NRPC）建设与域控制器毗连的 清静通道时，可使用此误差获取域治理员会见权限。此误差为微软在8月补丁更新时披露，CVSS评分为10，影响普遍，现在网上已有EXP宣布，请相关用户尽快接纳步伐举行防护。
Netlogon是Windows中用于为域控制器注册所有SRV资源纪录的服务。提供用户和机械在域内网络上的认证与复制数据库举行域控备份，还用于维护域成员与域之间、域与域控之间、域DC与跨域DC之间的关系。
九游老哥科技第一时间复现了此误差：
参考链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472
二. 影响规模
受影响版本
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)
三. 误差检测
3.1 工具验证
披露此误差的Secura已在GitHub上传了验证剧本，相关用户可使用此工具举行检测：
https://github.com/SecuraBV/CVE-2020-1472
受影响系统（Windows Server 2012 R2）的检测效果如下：
3.2 产品检测
九游老哥科技远程清静评估系统（RSAS）与网络入侵检测系统（IDS）、综合威胁探针（UTS）已具备对此误差的扫描与检测能力，请有安排以上装备的用户升级至最新版本。
|
清静产品版本 |
升级包版本号 |
升级包下载链接 |
|
RSAS V6 系统插件包 |
V6.0R02F01.1917 |
http://update.nsfocus.com/update/downloads/id/108456 |
|
IDS |
5.6.9.23542 |
http://update.nsfocus.com/update/downloads/id/108464 |
|
5.6.10.23542 |
http://update.nsfocus.com/update/downloads/id/108465 |
|
|
UTS |
5.6.10.23542 |
http://update.nsfocus.com/update/downloads/id/108469 |
关于RSAS的升级设置指导，请参考如下链接：
https://mp.weixin.qq.com/s/aLAWXs5DgRhNHf4WHHhQyg
四. 误差防护
4.1 官方升级
现在微软官方已针对受支持的系统版本宣布了修复此误差的清静补丁，强烈建议受影响用户尽快装置补丁举行防护，官方下载链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472
注：由于网络问题、盘算机情形问题等缘故原由，Windows Update的补丁更新可能泛起失败。用户在装置补丁后，应实时检查补丁是否乐成更新。
右键点击Windows图标，选择“设置(N)”，选择“更新和清静”-“Windows更新”，审查该页面上的提醒信息，也可点击“审查更新历史纪录”审查历史更新情形。
针对未乐成装置的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载自力程序包并装置。
4.2 其他防护步伐
在装置更新补丁后，还可通过安排域控制器 (DC) 强制模式以免受到该误差影响：
请参考官方文档举行设置《怎样治理与 CVE-2020-1472 相关的 Netlogon 清静通道毗连的更改》：
https://support.microsoft.com/zh-cn/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc
4.3 产品防护
针对此误差，九游老哥科技网络入侵防护系统(IPS) 已宣布规则升级包，请相关用户升级至最新版本规则，以形成清静产品防护能力。清静防护产品规则版本号如下：
|
清静防护产品 |
规则版本号 |
升级包下载链接 |
|
IPS |
5.6.9.23542 |
http://update.nsfocus.com/update/downloads/id/108464 |
|
5.6.10.23542 |
http://update.nsfocus.com/update/downloads/id/108465 |
产品规则升级的操作办法详见如下链接：
IPS：https://mp.weixin.qq.com/s/JsRktENQNj1TdZSU62N0Ww
4.4 平台监测
九游老哥企业清静平台（ESP-H）已经具备针对此误差的监测能力，安排有九游老哥科技平台类产品的用户，可实现对误差的平台监测能力。
|
清静平台 |
升级包/规则版本号 |
|
ESP-H（九游老哥企业清静平台） |
使用最新规则升级包 ESP-EVENTRULE-013-20200915 |
声明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。
九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
关于九游老哥科技
九游老哥（简称九游老哥科技）建设于2000年4月，总部位于北京。在海内外设有40个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究，九游老哥科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
九游老哥于2014年1月29日起在深圳证券生意所创业板上市，股票简称：九游老哥科技，股票代码：300369。
