simeononsecurity/cve-2020-1350-fix
Una soluzione alternativa basata sul registro di sistema può essere utilizzata per contribuire a proteggere un server Windows interessato e può essere implementata senza richiedere all'amministratore di riavviare il server. A causa della volatilità di questa vulnerabilità, gli amministratori potrebbero dover implementare la soluzione alternativa prima di applicare l'aggiornamento di sicurezza, in modo da poter aggiornare i propri sistemi seguendo una cadenza di distribuzione standard.
Il 14 luglio 2020, Microsoft ha rilasciato un aggiornamento della sicurezza per il problema descritto in CVE-2020-1350 | Vulnerabilità di esecuzione remota di codice nel server DNS di Windows. Questo advisory descrive una vulnerabilità critica di esecuzione remota di codice (RCE) che interessa i server Windows configurati per eseguire il ruolo di server DNS. Raccomandiamo vivamente agli amministratori dei server di applicare l'aggiornamento della sicurezza appena possibile.
È possibile utilizzare una soluzione alternativa basata sul registro di sistema per proteggere un server Windows interessato e implementarla senza che un amministratore debba riavviare il server. A causa della volatilità di questa vulnerabilità, gli amministratori potrebbero dover implementare la soluzione alternativa prima di applicare l'aggiornamento della sicurezza, per poter aggiornare i propri sistemi utilizzando una cadenza di distribuzione standard.
Facoltativo: Scarica lo script della soluzione alternativa dal repository GitHub
Per aggirare questa vulnerabilità, apportare la seguente modifica al registro di sistema per limitare la dimensione massima consentita dei pacchetti di risposta DNS in ingresso basati su TCP:
Sottochiave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters
Valore: TcpReceivePacketSize
Tipo: DWORD
Dati valore: 0xFF00
Note:
I Dati valore predefiniti (anche massimi) = 0xFFFF.
I Dati valore consigliati = 0xFF00 (255 byte in meno rispetto al massimo).
Per rendere effettiva la modifica al registro, è necessario riavviare il servizio DNS. A tale scopo, eseguire il comando seguente in un prompt dei comandi con privilegi elevati:
```net stop dns && net start dns```
##Informazioni importanti su questa soluzione alternativa I pacchetti di risposta DNS basati su TCP che superano il valore consigliato verranno scartati senza errori. Pertanto, è possibile che ad alcune query non venga data risposta. Ciò potrebbe causare un guasto imprevisto. Un server DNS subirà un impatto negativo da questa soluzione alternativa solo se riceve risposte TCP valide superiori a quanto consentito nella mitigazione precedente (più di 65.280 byte).
Il valore ridotto difficilmente influirà sulle distribuzioni standard o sulle query ricorsive. Tuttavia, potrebbe esistere un caso d'uso non standard in un determinato ambiente. Per determinare se l'implementazione del server sarà influenzata negativamente da questa soluzione alternativa, è consigliabile abilitare la registrazione diagnostica e acquisire un campione rappresentativo del tipico flusso aziendale. Successivamente, si dovranno esaminare i file di log per identificare la presenza di pacchetti di risposta TCP anormalmente grandi.
Per ulteriori informazioni, vedere Registrazione e diagnostica DNS.