simeononsecurity/cve-2020-1350-fix
Uma solução alternativa baseada no registro pode ser usada para ajudar a proteger um servidor Windows afetado, e pode ser implementada sem exigir que um administrador reinicie o servidor. Devido à volatilidade desta vulnerabilidade, os administradores podem ter que implementar a solução alternativa antes de aplicar a atualização de segurança para permitir que atualizem seus sistemas usando um ritmo de implantação padrão.
Em 14 de julho de 2020, a Microsoft lançou uma atualização de segurança para o problema descrito em CVE-2020-1350 | Vulnerabilidade de Execução Remota de Código do Servidor DNS do Windows. Este aviso descreve uma vulnerabilidade crítica de Execução Remota de Código (RCE) que afeta servidores Windows configurados para executar a função de Servidor DNS. Recomendamos fortemente que os administradores de servidores apliquem a atualização de segurança o mais rápido possível.
Uma solução alternativa baseada no registro pode ser usada para ajudar a proteger um servidor Windows afetado e pode ser implementada sem exigir que um administrador reinicie o servidor. Devido à volatilidade desta vulnerabilidade, os administradores podem ter que implementar a solução alternativa antes de aplicar a atualização de segurança para permitir que atualizem seus sistemas usando um cronograma de implantação padrão.
Opcional: Baixe o script de solução alternativa do Repositório GitHub
Para contornar esta vulnerabilidade, faça a seguinte alteração no registro para restringir o tamanho do maior pacote de resposta DNS baseado em TCP de entrada permitido:
Subchave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters
Valor: TcpReceivePacketSize
Tipo: DWORD
Dados do valor: 0xFF00
Observações:
O padrão (também máximo) Dados do valor = 0xFFFF.
O recomendado Dados do valor = 0xFF00 (255 bytes a menos que o máximo).
Você deve reiniciar o Serviço DNS para que a alteração no registro entre em vigor. Para fazer isso, execute o seguinte comando em um prompt de comando elevado:
net stop dns && net start dns
##Informações importantes sobre esta solução alternativa
Pacotes de resposta DNS baseados em TCP que excedam o valor recomendado serão descartados sem erro. Portanto, é possível que algumas consultas não sejam respondidas. Isso pode causar uma falha inesperada. Um servidor DNS será impactado negativamente por esta solução alternativa apenas se receber respostas TCP válidas maiores do que o permitido na mitigação anterior (mais de 65.280 bytes).
O valor reduzido é improvável de afetar implantações padrão ou consultas recursivas. No entanto, um caso de uso não padrão pode existir em um determinado ambiente. Para determinar se a implementação do servidor será adversamente afetada por esta solução alternativa, você deve habilitar o registro de diagnóstico e capturar uma amostra representativa do seu fluxo de negócios típico. Em seguida, você terá que revisar os arquivos de log para identificar a presença de pacotes de resposta TCP anormalmente grandes.
Para obter mais informações, consulte Registro e Diagnóstico de DNS.