โปรแกรมปรับปรุง SIGRed ล้มเหลวใน Windows Server 2008 R2

Microsoft เปิดตัวแพตช์ความปลอดภัย SIGred สำหรับ Windows Servers 2008 ถึง 2019 เซิร์ฟเวอร์ Windows เหล่านี้ทั้งหมดที่มีบทบาท DNS ติดตั้งจะได้รับผลกระทบ มีการอัปเดตด้านความปลอดภัยเท่านั้นและการอัปเดตแบบรวมรายเดือน ขึ้นอยู่กับคุณว่าคุณจะติดตั้งอันไหน หลังจากติดตั้งการอัปเดตอย่างใดอย่างหนึ่งและการรีบูต โปรแกรมแก้ไข SIGRed จะล้มเหลวใน Windows Server 2008 R2 ข้อผิดพลาดกำลังแสดง: ล้มเหลวในการกำหนดค่าการอัปเดต Windows กำลังคืนค่าการเปลี่ยนแปลง อย่าปิดคอมพิวเตอร์ของคุณ เหตุใดจึงเกิดขึ้นและวิธีแก้ปัญหาคืออะไร

ช่องโหว่การเรียกใช้โค้ดระยะไกลของเซิร์ฟเวอร์ DNS ของ SIGRed

CVE-2020-1350 | ช่องโหว่การเรียกใช้โค้ดจากระยะไกลของเซิร์ฟเวอร์ DNS DNS ถูกค้นพบโดย Check Point Microsoft ให้คะแนนช่องโหว่ที่มีระดับความเสี่ยงสูงสุดที่เป็นไปได้ 10.0 ในระดับของ “ระบบการให้คะแนนช่องโหว่ทั่วไป” (CVSS)

จุดตรวจสอบ:

นักวิจัยของ Check Point เพิ่งค้นพบช่องโหว่ร้ายแรงที่อาจทำให้ผู้โจมตีสามารถทำเช่นนี้ได้ใน Windows DNS Server ซึ่งเป็นองค์ประกอบสำคัญของสภาพแวดล้อมเครือข่าย Windows เรารายงานเรื่องนี้ไปยัง Microsoft ซึ่งรับทราบว่าเป็นช่องโหว่ระดับวิกฤต (คะแนน CVSS 10.0 ซึ่งบ่งชี้ถึงระดับความรุนแรงสูงสุดที่เป็นไปได้) และออกแพทช์เร่งด่วนสำหรับช่องโหว่ดังกล่าว เราขอแนะนำให้ผู้ใช้ใช้โปรแกรมแก้ไขกับ Windows DNS Server เวอร์ชันที่ได้รับผลกระทบตั้งแต่ปี 2546 ถึง 2562 เพื่อป้องกันการใช้ประโยชน์จากช่องโหว่นี้

ไมโครซอฟต์:

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลมีอยู่ในเซิร์ฟเวอร์ระบบชื่อโดเมนของ Windows เมื่อล้มเหลวในการจัดการคำขออย่างถูกต้อง ผู้โจมตีที่ประสบความสำเร็จในการใช้ประโยชน์จากช่องโหว่สามารถเรียกใช้โค้ดที่กำหนดเองในบริบทของบัญชีระบบภายในเครื่องได้ เซิร์ฟเวอร์ Windows ที่ได้รับการกำหนดค่าเป็นเซิร์ฟเวอร์ DNS มีความเสี่ยงจากช่องโหว่นี้ เพื่อใช้ประโยชน์จากช่องโหว่ ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องสามารถส่งคำขอที่เป็นอันตรายไปยังเซิร์ฟเวอร์ DNS ของ Windows ได้ การอัปเดตแก้ไขช่องโหว่โดยการปรับเปลี่ยนวิธีที่เซิร์ฟเวอร์ Windows DNS จัดการคำขอ

ลำดับเวลาการเปิดเผย SIGRed

• 19 พฤษภาคม 2020 - รายงานเบื้องต้นไปยัง Microsoft

• 18 มิ.ย. 2020 - Microsoft ออก CVE-2020-1350 สำหรับช่องโหว่นี้

• 9 ก.ค. 2020 - Microsoft ยอมรับว่าปัญหานี้เป็นช่องโหว่ร้ายแรงและหนอนได้ โดยมีคะแนน CVSS 10.0

• 14 กรกฎาคม 2020 - Microsoft เปิดตัวการแก้ไข (แพทช์วันอังคาร)

โปรแกรมปรับปรุง SIGRed Microsoft ล้มเหลวในการติดตั้งใน Windows Server 2008 R2

คุณไม่สามารถติดตั้ง KB4565524 หรือ KB4565539 บน Server 2008 R2 ได้ เนื่องจากติดตั้งล้มเหลว ในตอนแรกมันดูดีมากเพราะกำลังติดตั้งการอัปเดต หลังจากการอัพเดต คุณจะต้องรีบูต หลังจากรีสตาร์ทเซิร์ฟเวอร์ จะแสดงข้อผิดพลาดต่อไปนี้: การกำหนดค่าการอัปเดต Windows ล้มเหลว กำลังคืนค่าการเปลี่ยนแปลง อย่าปิดคอมพิวเตอร์ของคุณ Windows Server 2008 R2 ไม่ได้ติดตั้งการอัปเดต แต่ล้มเหลว

เหตุใดแพทช์ SIGRed จึงล้มเหลวในการติดตั้งใน Windows Server 2008 R2

โซลูชัน KB4565524 และ KB4565539 ไม่สามารถอัปเดตได้

คุณไม่มีสิทธิ์การใช้งาน Extender Security Updates (ESU) หากคุณไม่ซื้อแพตช์ SIGRed โดย Microsoft จะล้มเหลวเมื่อทำการอัพเดต

คลิกหน้าต่อไปนี้และไปที่ส่วนข้อกำหนดเบื้องต้น:

14 กรกฎาคม 2020—KB4565524 (ชุดรวมอัปเดตรายเดือน)
14 กรกฎาคม 2020—KB4565539 (การอัปเดตด้านความปลอดภัยเท่านั้น)

class="x-hidden-focus">ก่อนที่จะติดตั้งการอัปเดตนี้ ข้อกำหนดเบื้องต้นคือ:

คุณต้องติดตั้งการอัปเดตตามรายการด้านล่างและรีสตาร์ทอุปกรณ์ของคุณ ก่อนที่จะติดตั้ง Rollup ล่าสุด การติดตั้งการอัปเดตเหล่านี้จะปรับปรุงความน่าเชื่อถือของกระบวนการอัปเดตและบรรเทาปัญหาที่อาจเกิดขึ้นในขณะที่ติดตั้งชุดรวมอัปเดตและใช้การแก้ไขความปลอดภัยของ Microsoft

1. การอัปเดตสแตกบริการ (SSU) วันที่ 12 มีนาคม 2019 (KB4490628) หากต้องการรับแพ็คเกจแบบสแตนด์อโลนสำหรับ SSU นี้ ให้ค้นหาใน Microsoft Update Catalog การอัปเดตนี้จำเป็นต้องติดตั้งการอัปเดตที่เซ็นชื่อด้วย SHA-2 เท่านั้น

2. การอัปเดต SHA-2 ล่าสุด (KB4474419) ที่เผยแพร่เมื่อวันที่ 10 กันยายน 2019 หากคุณใช้ Windows Update การอัปเดต SHA-2 ล่าสุดจะถูกเสนอให้คุณโดยอัตโนมัติ การอัปเดตนี้จำเป็นต้องติดตั้งการอัปเดตที่เซ็นชื่อด้วย SHA-2 เท่านั้น สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการอัปเดต SHA-2 โปรดดูข้อกำหนดการสนับสนุนการลงนามโค้ด SHA-2 ปี 2019 สำหรับ Windows และ WSUS

3. SSU ของวันที่ 9 มิถุนายน 2020 (KB4562030) หรือใหม่กว่า หากต้องการรับแพ็คเกจแบบสแตนด์อโลนสำหรับ SSU นี้ ให้ค้นหาใน Microsoft Update Catalog

4. แพ็คเกจการเตรียมการให้สิทธิ์การใช้งานการอัปเดตความปลอดภัยแบบขยาย (ESU) (KB4538483) ที่เผยแพร่เมื่อวันที่ 11 กุมภาพันธ์ 2020 จะมีการเสนอแพ็คเกจการเตรียมการให้สิทธิ์การใช้งาน ESU แก่คุณจาก WSUS หากต้องการรับแพ็คเกจแบบสแตนด์อโลนสำหรับแพ็คเกจการเตรียมสิทธิ์การใช้งาน ESU ให้ค้นหาใน Microsoft Update Catalog

ตอนนี้ฉันขอแนะนำให้คุณอัปเดตเครื่องทั้งหมดของคุณเป็น Windows Server 2016 หรือ Windows Server 2019 ในระหว่างนี้แก้ไขช่องโหว่ DNS ให้ดูที่ขั้นตอนต่อไป

แก้ไขช่องโหว่ DNS ด้วยรีจิสทรี

เมื่อต้องการแก้ไขช่องโหว่นี้ ให้ทำการเปลี่ยนแปลงรีจิสทรีต่อไปนี้เพื่อจำกัดขนาดของแพ็กเก็ตการตอบสนอง DNS ที่ใช้ TCP ขาเข้าที่ใหญ่ที่สุดที่ได้รับอนุญาต

แก้ไขช่องโหว่ DNS เซิร์ฟเวอร์ Windows ด้วยการจัดการนโยบายกลุ่ม

สร้าง GPO ในการจัดการนโยบายกลุ่มด้วยคีย์รีจิสทรีต่อไปนี้ เชื่อมโยง GPO กับ Windows Server 2008 R2 ที่ติดตั้งบทบาท DNS

คีย์ย่อย:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters 

ค่า: TcpReceivePacketSize

ประเภท: DWORD

ข้อมูลค่า: class="x-hidden-focus">0xFF00

เรียกใช้ Command Prompt ในฐานะผู้ดูแลระบบและเริ่มบริการ DNS ใหม่: net stop DNS && net start DNS

แก้ไขช่องโหว่ DNS ของเซิร์ฟเวอร์ Windows ด้วย Command Prompt

หากคุณมี Windows Server 2008 R2 เพียงไม่กี่เครื่องที่ติดตั้งบทบาท DNS คุณสามารถเพิ่มคีย์รีจิสทรีด้วยตนเองได้ หากต้องการเร่งความเร็ว ให้ใช้ Command Prompt

เรียกใช้ Command Prompt ในฐานะผู้ดูแลระบบ ใช้คำสั่ง reg-add

C:\>reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters" /v "TcpReceivePacketSize" /t REG_DWORD /d 0xFF00 /f

C:\>net stop DNS && net start DNS

แก้ไขช่องโหว่ DNS เซิร์ฟเวอร์ Windows ด้วย PowerShell

เรียกใช้ PowerShell ในฐานะผู้ดูแลระบบ รันคำสั่งสามคำสั่งต่อไปนี้

PS C:\> $null = New-Item -Path HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters -Force

PS C:\> New-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\DNS\parameters -Name "TcpReceivePacketSize" -PropertyType DWord -Value 0xFF00 -Force


TcpReceivePacketSize : 65280
PSPath               : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\par
                       ameters
PSParentPath         : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS
PSChildName          : parameters
PSDrive              : HKLM
PSProvider           : Microsoft.PowerShell.Core\Registry

PS C:\> Restart-Service DNS

Windows Server 2008 R2 ได้รับการปกป้องจากช่องโหว่ CVE-2020-1350 แล้ว โปรดทราบว่าคุณยังไม่สามารถอัปเดตเป็นการอัปเดตความปลอดภัยใหม่และการอัปเดตแบบรวมรายเดือนได้

อ่านเพิ่มเติม: ลบใบรับรอง Let's Encrypt ใน Windows Server »

บทสรุป

ในบทความนี้ คุณได้เรียนรู้ว่าเหตุใดโปรแกรมแก้ไข SIGRed จึงล้มเหลวใน Windows Server 2008 R2 ตรวจสอบให้แน่ใจว่าได้ติดตั้งข้อกำหนดเบื้องต้นใน Windows Server 2008 R2 แล้ว ดำเนินการดังกล่าวก่อนที่จะติดตั้งการอัปเดตอย่างใดอย่างหนึ่งที่กล่าวถึงในบทความนี้ หากคุณกำลังจะอัปเกรดเป็น Windows Server รุ่นใหม่และไม่ซื้อ ESU ให้สร้างคีย์รีจิสทรีใน Windows Server 2008 R2 เพื่อแก้ไขช่องโหว่

ฉันแนะนำให้คุณอัพเกรด Windows Servers 2008 R2 เป็น Windows Server 2016/2019 หลังจากนั้นทำการรื้อถอนระบบ Windows Server 2008 R2 ทั้งหมด

คุณสนุกกับบทความนี้หรือไม่? หากเป็นเช่นนั้น คุณอาจต้องการปิดการใช้งาน Windows Firewall ด้วย PowerShell อย่าลืมติดตามเราและแบ่งปันบทความนี้