További vonatkozások az adatokra
Ez a cikk kifejezetten a következő Windows Server-verziókra vonatkozik:
- Windows Server, 2004-es verzió (Server Core telepítés)
- Windows Server, 1909-es verzió (Server Core telepítés)
- Windows Server, 1903-as verzió (Server Core telepítés)
- Windows Server, 1803-as verzió (Server Core telepítés)
- Windows Server 2019 (Server Core telepítés)
- Windows Server 2019
- Windows Server 2016 (Server Core telepítés)
- Windows Server 2016
- Windows Server 2012 R2 (Server Core telepítés)
- Windows Server 2012 R2
- Windows Server 2012 (Server Core telepítés)
- Windows Server 2012
- Windows Server 2008 R2 x64-alapú rendszerekhez Service Pack 1 (Server Core telepítés)
- x64-alapú rendszerekhez készült Windows Server 2008 R2 Service Pack 1
- Windows Server 2008 x64-alapú rendszerekhez Service Pack 2 (Server Core telepítés)
- Windows Server 2008 x64-alapú rendszerekhez Service Pack 2
- Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core telepítés)
- Windows Server 2008 for 32-bit Systems Service Pack 2
Bevezetés
A Microsoft 2020. július 14-én kiadott egy biztonsági frissítést a CVE-2020-1350 | A Windows DNS-kiszolgáló távoli kódfuttatást lehetővé tevő biztonsági rése. Ez a tanácsadó egy olyan kritikus távoli kódfuttatást (RCE) érintő biztonsági rést ismertet, amely a DNS-kiszolgálói szerepkör futtatására konfigurált Windows-kiszolgálókat érinti. Erősen javasoljuk, hogy a kiszolgálók rendszergazdái a lehető leghamarabb telepítsék a biztonsági frissítést.
Az érintett Windows-kiszolgálók védelméhez egy beállításjegyzéken alapuló kerülő megoldást lehet használni, amely anélkül implementálható, hogy egy rendszergazda újra kellene indítania a kiszolgálót. A biztonsági rés volatilitása miatt a rendszergazdáknak a biztonsági frissítés telepítése előtt el kell végezniük a kerülő megoldást, hogy a szokásos telepítési ütemmel frissíthessék rendszereiket.
Kerülő megoldás
Fontos
Pontosan kövesse a jelen szakasz lépéseit. A beállításjegyzék helytelen módosítása esetén komoly problémák léphetnek fel. A módosítás előtt készítsen biztonsági másolatot a beállításjegyzékről arra az esetre, ha probléma lépne fel.
A biztonsági rés megkerülése érdekében hajtsa végre a következő beállításjegyzék-módosítást a legnagyobb engedélyezett legnagyobb bejövő TCP-alapú DNS-válaszcsomag méretének korlátozásához:
Billentyű: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters
Value = TcpReceivePacketSize
Type = DWORD
Érték = 0xFF00
Megjegyzések
- Az alapértelmezett (és maximális) Érték = 0xFFFF.
- Ha ezt a beállításazonosítót beilleszti vagy Csoportházirend segítségével alkalmazza egy kiszolgálóra, a rendszer elfogadja, de valójában nem állítja be a várt értékre. A 0x érték nem írható be az Érték mezőbe. Azonban beilleszthető. Ha beilleszti az értéket, a decimális érték 4325120.
- Ez a kerülő megoldás az FF00 fájlt alkalmazza decimális értékként 65280. Ez az érték 255-tel kisebb, mint a maximálisan megengedett 65 535-ös érték.
- A beállításjegyzék módosításának érvénybe léptetéséhez újra kell indítania a DNS szolgáltatást. Ehhez futtassa a következő parancsot rendszergazda jogú parancssorban:
net stop dns && net start dns
A kerülő megoldás implementálását követően a Windows DNS-kiszolgáló nem fogja tudni feloldani az ügyfelei DNS-nevét, ha a felsőbb szintű kiszolgálóról érkező DNS-válasz 65 280 bájtnál nagyobb.
Megjegyzés
Fontos információk a kerülő megoldásról
Az ajánlott értéket meghaladó TCP-alapú DNS-válaszcsomagokat a rendszer hiba nélkül eldobja. Emiatt előfordulhat, hogy bizonyos kérdésekre nem érkezik válasz. Ez váratlan hibához vezethet. Ez a kerülő megoldás csak akkor érinti hátrányosan a DNS-kiszolgálókat, ha az előző kockázatcsökkentésben engedélyezettnél nagyobb érvényes TCP-válaszokat kap (65 280 bájtnál nagyobb).
A csökkentett érték valószínűleg nincs hatással a hagyományos telepítésekre vagy a rekurzív lekérdezésekre. Egy adott környezetben azonban előfordulhatnak nem szabványos használati esetek. Annak megállapításához, hogy a kerülő megoldás hátrányosan befolyásolja-e a kiszolgáló megvalósítását, engedélyeznie kell a diagnosztikai naplózást, és rögzítenie kell egy olyan mintahalmazt, amely a tipikus üzleti folyamatot reprezentatív. Ezután ellenőriznie kell a naplófájlokat, hogy azonosítsa a szokatlanul nagy TCP-válaszcsomagokat
További információ: DNS-naplózás és diagnosztika.
Gyakori kérdések
A kerülő megoldás a Windows Server minden verziójára érvényes?
A kerülő megoldás a Windows Server összes, DNS-szerepkört futtató verzióján elérhető.
A bejövő TCP-alapú DNS-válaszcsomagok méretének korlátozása hatással lesz a kiszolgálók DNS-zónaátvitelre való képességére?
Meggyőződtünk róla, hogy ez a beállításjegyzék-beállítás nincs hatással a DNS-zónaátvitelekre.
Alkalmaznom kell a kerülő megoldást ÉS telepíteni kell a frissítést a rendszer védelméhez?
Nem, nem szükséges mindkét lehetőség megadása. A biztonsági frissítés telepítése megszünteti ezt a sebezhetőséget. A beállításjegyzéken alapuló kerülő megoldás védelmet nyújt a rendszernek, amikor nem tudja azonnal alkalmazni a biztonsági frissítést, és nem tekinthető a biztonsági frissítés helyettesítőjének. A frissítés telepítését követően a kerülő megoldásra már nincs szükség, ezért el kell távolítani.
El kell távolítanom a beállításjegyzék módosítását a biztonsági frissítés telepítése után?
A kerülő megoldás kompatibilis a biztonsági frissítéssel. A beállításjegyzék módosítására azonban a frissítés telepítését követően már nem lesz szükség. Az ajánlott eljárások értelmében a beállításjegyzékben végzett módosításokat el kell távolítani, amikor már nincs rájuk szükség, hogy elkerülhesse a nem szabványos konfigurációk futtatásából eredő esetleges jövőbeni hatásokat.
Milyen körülmények között érdemes megfontolnom a beállításkulcs kerülő megoldásának alkalmazását?
Azt javasoljuk, hogy minden DNS-kiszolgálót futtató személy telepítse a biztonsági frissítést a lehető leghamarabb. Ha nem tudja azonnal alkalmazni a frissítést, akkor a környezet védelmére a szokásos telepítési ütem előtt biztosíthatja.
Hatással lesz ez a kerülő megoldás más TCP-alapú hálózati kommunikációkra?
Nem. A beállításjegyzék-beállítás a bejövő TCP-alapú DNS-válaszcsomagokra vonatkozik, és általános mértékben nem befolyásolja a TCP-üzenetek rendszer általi feldolgozását.