simeononsecurity/cve-2020-1350-fixレジストリベースの回避策を使用して、影響を受けるWindowsサーバーを保護することができます。また、この回避策は、管理者がサーバーを再起動することなく実装できます。この脆弱性の不安定性のため、管理者は、標準的な展開サイクルを使用してシステムを更新できるようにするには、セキュリティ更新プログラムを適用する前に回避策を実装する必要がある場合があります。
2020 年 7 月 14 日に、Microsoft は CVE-2020-1350 | Windows DNS サーバーのリモート コード実行の脆弱性 に記載されている問題のセキュリティ更新プログラムをリリースしました。このアドバイザリは、DNS サーバーの役割を実行するように構成された Windows サーバーに影響を与える重大なリモート コード実行 (RCE) の脆弱性について説明しています。サーバー管理者には、できるだけ早くセキュリティ更新プログラムを適用することを強くお勧めします。
レジストリベースの回避策を使用すると、影響を受ける Windows サーバーの保護に役立ち、管理者がサーバーを再起動することなく実装できます。この脆弱性は変動性が高いため、管理者は標準的な展開サイクルを使用してシステムを更新できるようにするために、セキュリティ更新プログラムを適用する前に回避策を実装する必要がある場合があります。
省略可能: GitHub リポジトリ から回避策スクリプトをダウンロードします。
この脆弱性を回避するには、許可される受信 TCP ベースの DNS 応答パケットの最大サイズを制限するために、レジストリを次のように変更します:
サブキー: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters
値: TcpReceivePacketSize
種類: DWORD
値のデータ: 0xFF00
注:
既定 (および最大) の値のデータ = 0xFFFF。
推奨される値のデータ = 0xFF00 (最大値より 255 バイト小さい)。
レジストリの変更を有効にするには、DNS サービスを再起動する必要があります。これを行うには、管理者コマンド プロンプトで次のコマンドを実行します:
```net stop dns && net start dns```
##この回避策に関する重要な情報
推奨値を超える TCP ベースの DNS 応答パケットは、エラーなしで破棄されます。そのため、一部のクエリでは応答が返されない可能性があります。これにより、予期しない障害が発生する可能性があります。この回避策による悪影響を受けるのは、以前の緩和策で許可された値 (65,280 バイトを超える) よりも大きい有効な TCP 応答を受信した DNS サーバーのみです。
この値を小さくしても、標準的な展開や再帰クエリに影響する可能性は低いです。ただし、特定の環境では非標準的なユースケースが存在する可能性があります。この回避策によってサーバーの実装に悪影響が出るかどうかを判断するには、診断ログを有効にし、通常のビジネス フローを代表するサンプル セットを取得してください。その後、ログ ファイルを確認して、異常に大きな TCP 応答パケットの存在を特定する必要があります。
詳細については、DNS のログ記録と診断 を参照してください。