simeononsecurity/cve-2020-1350-fix
Eine registrybasierte Problemumgehung kann verwendet werden, um einen betroffenen Windows-Server zu schützen, und sie kann implementiert werden, ohne dass ein Administrator den Server neu starten muss. Aufgrund der Volatilität dieser Sicherheitslücke müssen Administratoren die Problemumgehung möglicherweise implementieren, bevor sie das Sicherheitsupdate anwenden, um ihre Systeme im Rahmen eines standardmäßigen Bereitstellungsrhythmus aktualisieren zu können.
Am 14. Juli 2020 hat Microsoft ein Sicherheitsupdate für das unter CVE-2020-1350 | Windows DNS Server Remote Code Execution Vulnerability beschriebene Problem veröffentlicht. Diese Empfehlung beschreibt eine kritische Sicherheitsanfälligkeit bezüglich der Ausführung von Code aus der Ferne (RCE), die Windows-Server betrifft, die für die Ausführung der DNS-Serverrolle konfiguriert sind. Wir empfehlen Serveradministratoren dringend, das Sicherheitsupdate so bald wie möglich anzuwenden.
Ein registrierungsbasierter Workaround kann verwendet werden, um einen betroffenen Windows-Server zu schützen, und kann implementiert werden, ohne dass ein Administrator den Server neu starten muss. Aufgrund der Volatilität dieser Sicherheitsanfälligkeit müssen Administratoren den Workaround möglicherweise vor der Anwendung des Sicherheitsupdates implementieren, um ihre Systeme mit einem standardmäßigen Bereitstellungsrhythmus aktualisieren zu können.
Optional: Laden Sie das Workaround-Skript aus dem GitHub-Repository herunter.
Um diese Sicherheitsanfälligkeit zu umgehen, nehmen Sie die folgende Registrierungsänderung vor, um die Größe des größten zulässigen eingehenden TCP-basierten DNS-Antwortpakets zu beschränken:
Unterschlüssel: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters
Wert: TcpReceivePacketSize
Typ: DWORD
Wertdaten: 0xFF00
Hinweise:
Der Standardwert (auch Maximum) Wertdaten = 0xFFFF.
Der empfohlene Wertdaten = 0xFF00 (255 Bytes weniger als das Maximum).
Sie müssen den DNS-Dienst neu starten, damit die Registrierungsänderung wirksam wird. Führen Sie dazu den folgenden Befehl in einer Eingabeaufforderung mit erhöhten Rechten aus:
net stop dns && net start dns
##Wichtige Informationen zu diesem Workaround TCP-basierte DNS-Antwortpakete, die den empfohlenen Wert überschreiten, werden ohne Fehler verworfen. Daher ist es möglich, dass einige Abfragen nicht beantwortet werden. Dies könnte zu einem unerwarteten Fehler führen. Ein DNS-Server wird durch diesen Workaround nur dann negativ beeinflusst, wenn er gültige TCP-Antworten empfängt, die größer sind als in der vorherigen Minderung erlaubt (mehr als 65.280 Bytes).
Der reduzierte Wert wird wahrscheinlich keine Auswirkungen auf Standardbereitstellungen oder rekursive Abfragen haben. In einer bestimmten Umgebung kann jedoch ein nicht standardmäßiger Anwendungsfall existieren. Um festzustellen, ob die Serverimplementierung durch diesen Workaround nachteilig beeinflusst wird, sollten Sie die Diagnoseprotokollierung aktivieren und eine repräsentative Stichprobe Ihres typischen Geschäftsablaufs erfassen. Anschließend müssen Sie die Protokolldateien überprüfen, um das Vorhandensein von ungewöhnlich großen TCP-Antwortpaketen zu identifizieren.
Weitere Informationen finden Sie unter DNS-Protokollierung und -Diagnose.