MS09-012: Descripción de la actualización de seguridad para el aislamiento del servicio de Windows: Abril de 2009

Cómo obtener ayuda y soporte técnico para esta actualización de seguridad

Los usuarios domésticos podrán obtener soporte técnico gratuito llamando al teléfono 1-866-PCSAFETY en Estados Unidos y Canadá, o poniéndose en contacto con la subsidiaria local de Microsoft. Para obtener más información acerca de cómo ponerse en contacto con la subsidiaria local de Microsoft pertinente para tratar problemas de soporte técnico relacionados con las actualizaciones de seguridad, visite el siguiente sitio web Microsoft International Support:

http://support.microsoft.com/common/international.aspx?rdpath=4 Los clientes de Norteamérica también pueden obtener acceso instantáneo a soporte técnico gratuito por correo electrónico, así como soporte técnico de carácter ilimitado e individualizado por chat si visitan el siguiente sitio web de Microsoft:

http://support.microsoft.com/oas/default.aspx?&prid=7552 Los clientes de empresas podrán obtener soporte técnico para las actualizaciones de seguridad a través de los contactos de soporte técnico habituales.

Problemas conocidos con esta actualización de seguridad

• Síntomas
  
  Una vez que haya aplicado esta actualización en un servidor que utiliza más de cuatro núcleos de CPU y que ejecuta Microsoft ISA Server Standard Editions, el servicio Control de Microsoft ISA Server no se inicia. Además, se graba el Id. de evento 14109 en el registro de la aplicación.
  
  Causa
  
  Este problema puede ocurrir si una revisión publicada después del 7 de febrero de 2007 se ha instalado antes de instalar la actualización de seguridad. Esto es debido a un cambio en la forma en que Windows informa acerca del número de CPU disponibles. Este cambio se introdujo por primera vez en la revisión 932730. El cambio obliga a Windows Server 2003 a comunicar esta información exactamente como lo hacen Windows Vista y Windows Server 2008. Cuando Windows informa acerca de más de cuatro núcleos de CPU, el servicio Control del servidor ISA interpreta más de cuatro CPU. Esto activa una alerta y, a continuación, apaga el servicio Control de Microsoft ISA Server y cualquier dispositivo dependiente.
  
  Nota: la revisión 932730 no se incluyó con ningún Windows Server 2003 Service Pack.
  
  Para obtener información adicional acerca de la revisión 932730, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
  
  

  932370 El número de procesadores con hyperthreading físicos o el número de procesadores físicos con varios núcleos que aparece en Windows Server 2003 es incorrecto.Para obtener más información acerca de cómo evitar este problema, visite la siguiente página web de Microsoft:
  
  

  http://blogs.technet.com/isablog/archive/2009/04/18/ms09-012-and-isa-server-standard-edition-14109-failures.aspxPara resolver este problema para ISA Server 2004, instale el paquete acumulativo de revisiones 970454. Para obtener información adicional acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

  970454Descripción del paquete de revisiones de ISA Server 2004: 02.06.09Para resolver este problema para ISA Server 2004, instale el paquete acumulativo de revisiones 970441.
  
  Para obtener información adicional acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

  970441REVISIÓN: el servicio Control del servidor ISA no se puede iniciar tras instalar la actualización de MS09-012 en un equipo que ejecuta Windows Server 2003 y que tiene más de 4 núcleos de CPU.
  Nota: no se emitió ninguna revisión para ISA Server 2000 porque éste ya no está incluido en el soporte estándar y porque este problema no es uno de vulnerabilidad de seguridad.
  
  

• Después de aplicar esta actualización y de que se realice la actualización en contexto desde una versión anterior del sistema operativo a un nuevo sistema operativo, es posible que los cambios realizados por el usuario no se conserven en las siguientes subclaves del Registro:

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\DefaultSecuredHost
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\CompatibleHostProviders
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders Este problema puede producirse en los escenarios de actualización siguientes:
  
  
  

  • Windows XP a Windows Vista

  • Windows Server 2003 a Windows Server 2008

  • Windows 2000 Server a Windows Server 2003

  
  
  
  Este problema no se produce en los siguientes escenarios de actualización:
  
  

  • Windows Vista a Windows 7

  • Windows Server 2008 a service packs más recientes o a futuros sistemas operativos basados en servidor.

  Para evitar que se produzca este problema, realice una copia de seguridad de dichas subclaves antes de realizar la actualización en contexto. Vuelva a aplicar las copias de seguridad de las subclaves después de que haya finalizado la actualización y después de que se revise el sistema con las actualizaciones de seguridad.

P+F para los proveedores de software independientes (ISV) (COM)

Pregunta 1: ¿Cómo puedo saber si este problema puede afectar a mi producto?

Respuesta 1: Responda a las siguientes preguntas:

1. ¿Su producto tiene que iniciar un proceso de servidor COM que no sea un servicio de NT?

2. ¿El servidor COM del que el producto crea una instancia se ejecuta en el contexto de la cuenta del servicio de red o del servicio local de forma predeterminada?
   

En caso de que la respuesta a las preguntas anteriores sea "sí", es posible que su servidor COM sea muy vulnerable. Para seguir investigando sobre la posibilidad de que su servidor COM sea vulnerable, siga los pasos que se indican a continuación:

1. Descargue Process Explorer desde el siguiente sitio web de Microsoft e instálelo:

   http://technet.microsoft.com/es-es/sysinternals/bb896653.aspx

2. Ejecute Process Explorer como administrador local.

3. Haga clic en View (Ver), seleccione Lower Pane View (Vista del panel inferior) y, a continuación, haga clic en Handles (Identificadores).

4. Haga clic en el proceso de servidor que le interesa y, a continuación, fíjese en las opciones Type = Token (Tipo = Token) del panel inferior.

5. Ejecute todos los conjuntos de pruebas aplicables a su producto.

6. Mire todos los tokens propietarios en el panel inferior para ver si se captura algún token del sistema.

Si observa que el proceso de servidor contiene el token del sistema, siga los pasos que se indican a continuación:

1. Descargue las herramientas de depuración para los productos de Windows desde el siguiente sitio web de Microsoft e instálelas:

   http://www.microsoft.com/whdc/devtools/debugging/default.mspx

2. Ejecute el archivo WinDBG.exe como administrador local.

3. Haga clic en Archivo y, a continuación, en Depuración del núcleo para iniciar el depurador del núcleo local.

4. Haga clic en Archivo y, a continuación, en Attach to a Process (Asociar a un proceso).

5. Haga clic en el proceso de servidor que le interesa y, a continuación, haga clic en Aceptar para asociarlo al proceso de servidor.

6. Defina la ruta de acceso de símbolos del depurador como sigue: Sustituya la ruta de acceso del almacén en cadena por DownstreamStore. Por ejemplo, utilice C:\Symbols.
   
   SRV*DownstreamStore*http://msdl.microsoft.com/download/symbols

7. Vacíe del información del token del proceso.
   Obtenga la dirección del token del resultado del !proceso y, a continuación, use el comando dt nt!_TOKEN para que aparezca una lista con los campos individuales de la estructura del TOKEN.

8. Observe el campo ImpersonationLevel del token.

Si observa que el proceso de servidor contiene el token del sistema y que el "ImpersonationLevel" del proceso de servidor es "SecurityImpersonation" o "SecurityDelegation", el cliente que instale esta aplicación del servidor COM en su equipo será vulnerable a esta vulnerabilidad de seguridad de MS09-012. Debe utilizar un SID especial para ayudar a proteger el servidor COM. Pregunta 2: ¿Cómo puedo saber si mi aplicación es una servidor COM "Ejecutar como"?

Respuesta 2: Para los servidores COM "Ejecutar como", la subclave del Registro AppID contendrá la siguiente entrada RunAs:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{APPIDGUID}\"RunAs"="NT Authority\NetworkService"Concretamente, si el valor de la entrada "RunAs" es "NT Authority\NetworkService" o "NT Authority\LocalService", es posible que el servidor COM sea vulnerable a la vulnerabilidad descrita en el boletín MS09-012. Siga los pasos que se especifican en la "Respuesta 1" para saber si el producto es vulnerable.

Pregunta 3: ¿Cómo puedo proteger el servidor COM que ha instalado mi producto?

Respuesta 3: Para la fase de pruebas en los laboratorios: Si desea ayudar a proteger las aplicaciones del servidor COM que se ejecuten en el modo de activación "Ejecutar como", debe disponer tanto de los controles del cliente COM como de los servidores COM que desea proteger. A continuación, le detallamos los pasos que puede seguir para ayudar a proteger las aplicaciones COM "Ejecutar como" al probarlas internamente:

• Instale el paquete MSRC.
  

• Realice las siguientes modificaciones en la configuración del servidor COM:

  HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{APPIDGUID} REG_DWORD AppIDFlags 0x2 /* Ejemplo de uso del valor del registro de AppIDFlags: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{60EE1F45-C0DD-4A1F-AA44-D97424600A16} REG_DWORD AppIDFlags 0x2 */ Nota: para realizar este cambio, es necesario que cuente con credenciales de administrador local.
  
  En caso de que el servidor COM de servicio de red o local que contiene los tokens de privilegio no sea un servicio de NT ni un servidor COM RunAs, deberá aplicarle dichos valores de configuración a fin de impedir la vulnerabilidad en cuestión.

Respuesta 3: Para las instalaciones existentes: en el caso de aquellos clientes que cuenten con instalaciones de servidores COM vulnerables, el ISV debe publicar y actualizar dichas ayudas que permiten las modificaciones en el equipo del cliente.

Respuesta 3: Para nuevas instalaciones: El ISV tiene que proporcionar un instalador inteligente que pueda detectar la actualización de seguridad 956572 que está instalada en el sistema y que pueda habilitar la clave del Registro AppIDFlags. En caso de que dicha actualización no esté instalada, el instalador mostrará un mensaje de error sobre las incompatibilidades del sistema y, a continuación, es posible que el instalador se cierre.

El cliente puede usar el método descrito a continuación para saber si la actualización de seguridad 956572 está instalada en Windows Server 2003 y Windows XP:

• El instalador debe determinar si existe la siguiente clave del Registro:

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\HotFix\KB956572 En su caso, significa que la actualización de seguridad 956572 se encuentra en el sistema.

Para ello, también puede usar el método de las consultas de WMI en todas las versiones de la plataforma de Windows. Se puede utilizar la siguiente consulta para saber si la actualización de seguridad 956572 está instalada en el equipo:

SELECT * FROM WIN32_QUICKFIXENGINEERING WHERE HotfixID like 'KB956572’Nota: la revisión para está vulnerabilidad se encuentra, de forma predeterminada, en Windows Vista SP2 y Windows Server 2008 SP2.

P+F para los administradores del sistema (COM)

Pregunta 1: ¿Cómo puedo saber si alguno de los servicios de mi empresa es vulnerable?

Respuesta 1: Responda a las siguientes preguntas:

1. ¿Su producto tiene que iniciar un proceso de servidor COM que no sea un servicio de NT?

2. ¿El servidor COM que su producto inicia se ejecuta en el contexto de la cuenta del servicio de red o del servicio local de forma predeterminada?
   

En caso de que la respuesta a las preguntas anteriores sea "sí", es posible que dichos servidores COM sean muy vulnerables. Para ayudar a proteger las aplicaciones del servidor COM, póngase en contacto con el ISV propietario del producto. En caso de que la aplicación se desarrollara internamente, siga los pasos de la Respuesta 1 de la sección "P+F para los proveedores de software independientes (ISV) (COM)".

P+F para ISV (Services.exe)

Pregunta 1: ¿Cómo puedo saber si la gama de un producto está afectada por la vulnerabilidad de seguridad mencionada en el boletín MS09-012?

Respuesta 1: Responda a las siguientes preguntas:

1. ¿Su producto instala servicios que se inician mediante el marco SCM?

2. ¿El servicio que instala su producto se ejecuta en el contexto de la cuenta del servicio de red o del servicio local de forma predeterminada?
   

3. Si el servicio se ejecuta en Windows Vista o en Windows Server 2008, ejecute el siguiente comando desde un símbolo del sistema con privilegios:

   SC.EXE QSIDTYPE <ServiceName> Is the SERVICE_SID_TYPE value NONE?
   
   Resultado:

   [SC] QueryServiceConfig2 SUCCESS SERVICE_NAME: <Nombre de servicio:> SERVICE_SID_TYPE: NINGUNO 

   En caso de que la respuesta a las tres preguntas anteriores sea "sí", es posible que su servicio sea muy vulnerable. Para seguir investigando acerca de la posibilidad de que su servicio sea vulnerable, siga los pasos relacionados con Process Explorer de la Respuesta 1 de la sección "P+F para los proveedores de software independientes (ISV) (COM)".

Pregunta 2: ¿Cómo puedo proteger los servicios que hayan instalado mis productos?

Respuesta 2:

Fase de pruebas en los laboratorios
A continuación, le detallamos los pasos que puede seguir para ayudar a proteger el servicio al probarlos internamente antes de ofrecérselos a sus clientes.

• Instale el paquete MSRC.
  

• Ejecute el siguiente comando desde un símbolo del sistema elevado:

  SC.exe SIDTYPE <ServiceName> NO RESTRINGIDO

• Reinicie el servicio desde el Administrador de control de servicios.

• Ejecute el siguiente comando para asegurarse de que el servicio haya obtenido el SID de servicio:

  SC.exe QSIDTYPE <Nombre de servicio> Resultado:
  

  [SC] QueryServiceConfig2 SUCCESS SERVICE_NAME: <Nombre de servicio:> SERVICE_SID_TYPE: NO RESTRINGIDO 

• En caso de que obtenga el resultado SERVICE_SID_TYPE = NO RESTRINGIDO, significa que su servicio ha obtenido un SID.

• Ejecute todos los casos de prueba para asegurarse de que las funciones que ofrece el servicio funcionan correctamente.

• La secuencia de comandos siguiente le ayudará a eliminar el SID de servicio del servicio en cuestión:

  SC.exe SIDTYPE <ServiceName> NINGUNO
  SC.exe STOP <ServiceName>
  SC.exe START <ServiceName>

Instalaciones existentes
en el caso de aquellos clientes que cuenten con instalaciones de servicios vulnerables, el ISV debe publicar y actualizar dichas ayudas que permiten obtener un SID de servicio en el paquete del cliente. Para la actualización, es preferible que siga los siguientes pasos:

1. Cambie la siguiente clave del Registro:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<ServiceName>\ServiceSidType = 1

2. Después de la actualización, el instalador debe reiniciar el sistema.

Esto establecerá el parámetro ServiceSID Type del servicio <ServiceName> en NO RESTRINGIDO.

Instalaciones nuevas
El ISV tiene que encontrar un instalador inteligente que pueda detectar si la actualización de seguridad 956572 está instalada en el sistema y, en su caso, que pueda habilitar la clave del Registro ServiceSidType. En caso de que dicha actualización no esté instalada, el instalador mostrará un mensaje de error sobre las incompatibilidades del sistema y, a continuación, el instalador se cerrará.

El cliente puede usar el método descrito a continuación para saber si la actualización de seguridad 956572 está instalada en Windows Server 2003 y Windows XP:

• El instalador debe determinar si existe la siguiente clave del Registro:

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\HotFix\KB956572 En su caso, significa que la actualización de seguridad 956572 se encuentra en el sistema.

Para ello, también puede usar el método de las consultas de WMI en todas las versiones de la plataforma de Windows. Puede utilizar la siguiente consulta para detectar si la actualización de seguridad 956572 está instalada en el equipo.

SELECT * FROM WIN32_QUICKFIXENGINEERING WHERE HotfixID like 'KB956572'Nota: las versiones publicadas de Windows Vista y Windows Server 2008 ya contienen la revisión para la vulnerabilidad Services.exe. No es necesario aplicar ningún método de detección.

Nota: si las DACL del producto cuenta con algún recurso con el SID de la cuenta de servicio, asegúrese de que a todos esos recursos (archivos, claves del Registro, etc.) se les hayan vuelto a aplicar las DACL con el SID de servicio. De lo contrario, la funcionalidad del producto podría verse afectada al intentar obtener acceso a los recursos.

Para ver el SID asignado a su servicio, use el siguiente comando:

SC.EXE SHOWSID <nombre de servicio>El SID de servicio se crea mediante la utilización de un hash del nombre de servicio y no cambiará mientras no cambie el nombre del servicio.

P+F para los administradores del sistema (Services.exe)

Pregunta 1: ¿Cómo puedo saber si alguno de los servicios de mi empresa es vulnerable?

Respuesta 1: Responda a las siguientes preguntas:

1. ¿Su producto instala servicios que se inician mediante el marco SCM?

2. ¿El servicio que instala su producto se ejecuta en el contexto de la cuenta del servicio de red o del servicio local de forma predeterminada?
   
   Nota: si su servicio se ejecuta en Windows Vista o en Windows Server 2008, ejecute el siguiente comando desde un símbolo del sistema elevado para determinar el contexto:

   SC.exe QSIDTYPE <Nombre de servicio> Resultado:
   

   [SC] QueryServiceConfig2 SUCCESS SERVICE_NAME: <Nombre de servicio:> SERVICE_SID_TYPE: NO RESTRINGIDO 

   En caso de que la respuesta a las tres preguntas anteriores sea "sí", es posible que dichos servicios sean muy vulnerables. Para ayudar a proteger dichos servicios, póngase en contacto con el ISV propietario del servicio en cuestión. En caso de que el servicio se desarrollara internamente, siga los pasos de la Respuesta 1 de la sección "P+F para los proveedores de software independientes (ISV) (COM)".

P+F para los proveedores de software independientes (ISV) (WMI)

Pregunta 1: ¿Cómo puedo identificar si el proveedor de WMI que utiliza nuestro producto se lanza en modo seguro?

Respuesta 1:

1. Abra los archivos ".mof" de los proveedores de WMI y compruebe si alguno de los proveedores tiene alguno de los siguientes modelos de hospedaje:
   

   • NetworkServiceHost

   • NetworkServiceHostToSelfHost

   • LocalServiceHost

   • NULL (sólo en el caso de Windows Vista o Windows Server 2008)

2. Como parte del paquete de rescate del token, sólo las bandejas de entrada que ofrecen los proveedores de WMI son seguras de forma predeterminada. Si su proveedor es un proveedor de bandejas de entrada, debería protegerse, a ser posible, después de que se haya instalado el paquete de rescate del token. Para comprobarlo, revise los valores del Registro bajo la subclave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders. En caso de que el proveedor esté protegido, debe obtener una entrada similar a la siguiente:

   <NameSpace>:_Win32Provider.Name ="<Nombre del proveedor>" REG_SZ 0. 

3. En caso de que el proveedor aparezca aquí, dicho proveedor en concreto se lanzará en modo seguro.

4. En caso de que el nombre del mismo no aparezca bajo la subclave del Registro SecureHostProviders y el modelo de hospedaje sea uno de los modelos enumerados en el paso 1, significa que el proveedor se lanzará mediante un archivo Wmiprvse.exe no seguro y, por tanto, hará que el equipo sea vulnerable al ataque de la acción de rescate del token.

Pregunta 2: ¿Cómo puedo comprobar si el proveedor de WMI que utiliza nuestro producto se lanza en modo seguro?

Respuesta 2:

1. Inicie sesión en un equipo en el que se haya instalado el producto como administrador.

2. Descargue Process Explorer desde el siguiente sitio web de Microsoft e instálelo:

   http://technet.microsoft.com/es-es/sysinternals/bb896653.aspx

3. Ejecute Process Explorer como administrador local.

4. Haga clic en View (Ver), seleccione Lower Pane View (Vista del panel inferior) y, a continuación, haga clic en Handles (Identificadores).

5. Use el Administrador de tareas para identificar y cerrar todos los procesos de Wmiprvse.exe que se estén ejecutando en el contexto del servicio de red o del servicio local.

6. Ejecute un caso de prueba para la aplicación que realiza una consulta de WMI mediante un proveedor de WMI concreto. De esta forma, se creará un nuevo proceso de WMIPrvSE.exe que reparará la nueva consulta de WMI que haya ejecutado.

7. Asegúrese de haber seleccionado la opción View DLLs (Ver DLL) en la barra de herramientas de Process Explorer.

8. Observe el panel inferior para comprobar si se ha cargado la DLL en el archivo WMIPrvSE.exe que acaba de crear.

9. Haga doble clic en WMIPrvSE.exe para abrir el cuadro de diálogo Propiedades.

10. Haga clic en la ficha Seguridad y asegúrese de que lo siguiente es correcto:
    

    • El SID del inicio de sesión presenta la forma (S-1-5-5-****).

    • El SID del inicio de sesión está marcado como propietario.

    • El SID de WMI para ServiceAcccount {Servicio local|Servicio de red} se marcará como propietario.
      

      • SID de WMI para el servicio local:
        
        S-1-5-86-1544737700-199408000-2549878335-3519669259-381336952

      • SID de WMI para el servicio de red:
        
        S-1-5-86-615999462-62705297-2911207457-59056572-3668589837

11. Haga clic en Permiso y compruebe que el servicio de red y el local no aparecen en la lista. Esto significa que el proveedor se lanzará ahora en modo seguro.

Pregunta 3: ¿Cómo puede el ISV proteger al proveedor de WMI que utilizan sus productos?

Respuesta 3: Como parte del paquete de rescate del token, hemos proporcionado tres claves del Registro que ayudarán a los ISV a configurar los proveedores de WMI.

• HKLM\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders
  
  
  Todos los proveedores enumerados en esta clave siempre se ejecutarán en modo seguro.

• HKLM \SOFTWARE\Microsoft\WBEM\CIMOM\CompatibleHostProviders
  
  En caso de que un proveedor aparezca en esta clave, este se ejecutará en modo no seguro. Esta clave se proporciona para que los ISV puedan añadir alguna excepción para un proveedor concreto que tenga problemas de compatibilidad para ejecutarse en modo seguro. De forma predeterminada, este contendrá 0 (cero) entradas.

• HKLM \SOFTWARE\Microsoft\WBEM\CIMOM\DefaultSecuredHost
  
  
  En caso de que esta clave del Registro global se establezca en 1, lanzará todos los proveedores de WMI en el equipo en modo seguro, independientemente de que aparezcan o no en las claves del Registro anteriores. Microsoft no la ha establecido en 1 de forma predeterminada, porque no hemos probado el comportamiento de todas las posibles aplicaciones de terceros que tengan esta clave del Registro establecida en 1.

Para ayudar a proteger a cualquier proveedor de WMI, añada el siguiente valor del Registro a "HKLM\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders":

<NameSpace>:_Win32Provider.Name =”<Nombre del proveedor>” REG_SZ 0. 

Asegúrese de que todos los escenarios de pruebas funcionan según lo esperado antes de realizar este cambio.

P+F para el administrador del sistema (WMI)

Pregunta 1: ¿Cómo puedo identificar si un proveedor de WMI que utiliza mi organización se ejecuta en modo no seguro?

Respuesta 1:

1. Inicie sesión en un equipo en el que se haya instalado el producto como administrador.

2. Descargue Process Explorer desde el siguiente sitio web de Microsoft e instálelo:

   http://technet.microsoft.com/es-es/sysinternals/bb896653.aspx

3. Ejecute Process Explorer como administrador local.

4. Haga clic en View (Ver), seleccione Lower Pane View (Vista del panel inferior) y, a continuación, haga clic en Handles (Identificadores).

5. Use el Administrador de tareas para identificar y cerrar todos los procesos de Wmiprvse.exe que se estén ejecutando en el contexto del servicio de red o del servicio local.

6. Ejecute un caso de prueba para la aplicación que realiza una consulta de WMI mediante un proveedor de WMI concreto. De esta forma, se creará un nuevo proceso de WMIPrvSE.exe que reparará la nueva consulta de WMI que haya ejecutado.

7. Asegúrese de haber seleccionado la opción View DLLs (Ver DLL) en la barra de herramientas de Process Explorer.

8. Observe el panel inferior para comprobar si se ha cargado la DLL en el archivo WMIPrvSE.exe que acaba de crear.

9. Haga doble clic en WMIPrvSE.exe para abrir el cuadro de diálogo Propiedades.

10. Haga clic en la ficha Seguridad y asegúrese de que lo siguiente es correcto:
    

    1. El "Servicio de red" o el "Servicio local" cuenta con todos los permisos necesarios para el proceso de Wmiprvse.exe.

    2. Asegúrese de que el SID de inicio de sesión (con la forma -1-5-5-****) no esté marcado como propietario.

    3. Asegúrese de que no se haya creado el SID de WMI para ServiceAcccount {Servicio local|Servicio de red}, es decir, asegúrese de que no aparece en "Grupo".

       • SID de WMI para el servicio local: S-1-5-86-1544737700-199408000-2549878335-3519669259-381336952

       • SID de WMI para el servicio de red: S-1-5-86-615999462-62705297-2911207457-59056572-3668589837

Pregunta 2: ¿Cómo puedo proteger a un proveedor de WMI vulnerable?

Respuesta 2:

1. Abra el Editor del Registro.

2. Vaya a la subclave del Registro siguiente:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders

3. Añada un valor del Registro para el proveedor de WMI a fin de protegerlo. Utilice el formato siguiente:

   <NameSpace>:_Win32Provider.Name =”<Nombre del proveedor>” REG_SZ 0 

4. Ejecute los comandos que se indican a continuación para reiniciar el servicio de WMI.
   

   • Sc stop winmgmt

   • Sc start winmgmt