搜索

[28758] 2021-02-14_威胁简介：WindowsIPv4和IPv6堆栈漏洞

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-02-14_威胁简介：WindowsIPv4和IPv6堆栈漏洞 威 胁 简 介 ： W i n d o w s   I P v 4 和 I P v 6 堆 栈 漏 洞 A b i s h e i k G a n e s a n   O t s 安 全   2 0 2 1 - 0 2 - 1 4 执 行 摘 要 执 行 摘 要 对 于 2 0 2 1 年 2 月 的 M i c r o s o f t 补 丁 程 序 星 期 二 ， 该 公 司 发 布 了 5 6 个 已 知 漏 洞 的 补 丁 程 序 ， 其 中 包 括 ： C V E - 2 0 2 1 - 2 4 0 8 6 和 C V E - 2 0 2 1 - 2 4 0 9 4 ： W i n d o w s   I P v 6 堆 栈 中 的 两 个 拒 绝 服 务 （ D o S ） 漏 洞 。 C V E - 2 0 2 1 - 2 4 0 7 4 ： W i n d o w s   I P v 4 堆 栈 中 的 远 程 代 码 执 行 （ R C E ） 漏 洞 。 C V E - 2 0 2 1 - 2 4 0 8 6 获 得 了 7 . 5   /   6 . 5 的 通 用 漏 洞 评 分 系 统 （ C V S S ） 评 分 ， 并 且 获 得 了 M i c r o s o f t “ 重 要 ” 安 全 等 级 。 C V E - 2 0 2 1 - 2 4 0 9 4 和 C V E - 2 0 2 1 - 2 4 0 7 4 的 C V S S 评 分 为 9 . 8   /   8 . 4 ， 并 且 获 得 M i c r o s o f t 的 “ 严 重 ” 安 全 评 级 。 C V E - 2 0 2 1 - 2 4 0 8 6 和 和 C V E - 2 0 2 1 - 2 4 0 9 4 概 述 概 述 攻 击 者 可 能 发 送 许 多 精 心 制 作 的 I P v 6 数 据 包 （ 多 个 标 头 ， 无 效 的 标 头 ， 多 个 片 段 标 头 等 ） ， 这 会 导 致 D o S 错 误 。 具 有 P A N - O S 的 P a l o   A l t o   N e t w o r k s 下 一 代 防 火 墙 客 户 能 够 阻 止 此 类 恶 意 数 据 包 以 缓 解 攻 击 。 启 用 了 I P v 6 防 火 墙 的 P a l o   A l t o   N e t w o r k s 下 一 代 防 火 墙 客 户 已 经 收 到 针 对 这 两 个 漏 洞 的 保 护 。 可 以 在 设 备 > 设 置 > 会 话 下 的 用 户 界 面 （ U I ） 中 启 用 I P v 6 防 火 墙 ： 选 中 “ 启 用 I P v 6 防 火 墙 ” 复 选 框 ， 然 后 提 交 防 火 墙 。 有 关 I P v 6 防 火 墙 的 更 多 详 细 信 息 ， 请 参 见 知 识 库 文 章 “ 如 何 启 用 和 禁 用 I P v 6 防 火 墙 ” 。 图 1 . 启 用 I P v 6 防 火 墙 。 P a l o   A l t o   N e t w o r k s 下 一 代 防 火 墙 客 户 可 以 使 用 命 令 s h o w   c o u n t e r   g l o b a l   f i l t e r   d e l t a 命 令 查 看 D o S 攻 击 期 间 数 据 包 丢 失 的 详 细 信 息 。 匹 配 f l o w _ p a r s e _ i p 6 ， 它 允 许 查 看 自 上 次 发 出 命 令 以 来 丢 弃 的 I P v 6 数 据 包 。
例 如 ， 以 下 是 针 对 防 火 墙 精 心 制 作 的 I P v 6 数 据 包 进 行 D o S 攻 击 后 的 命 令 输 出 ， 其 中 显 示 9 0 个 I P v 6 数 据 包 由 于 截 断 的 数 据 包 而 丢 失 ， 6 个 数 据 包 因 无 效 的 报 头 位 置 而 丢 失 ， 一 个 数 据 包 因 多 个 数 据 包 而 丢 失 I P v 6 数 据 包 中 的 片 段 头 。 a d m i n   @   P A - 3 0 2 0 > 显 示 计 数 器 全 局 过 滤 器 增 量 是 |   匹 配 f l o w _ p a r s e _ i p 6 f l o w _ p a r s e _ i p 6 _ t r u n c a t e d   9 0   4 丢 弃 流 解 析 丢 弃 的 数 据 包 ： 截 断 了 I P v 6 数 据 包 f l o w _ p a r s e _ i p 6 _ i n v a l i d _ r o u t i n g _ e x t _ h d r   6   0 丢 弃 流 解 析 丢 弃 的 数 据 包 ： I P v 6 数 据 包 中 无 效 的 路 由 标 头 位 置 f l o w _ p a r s e _ i p 6 _ f r a g _ n e s t e d   1   0 丢 弃 流 解 析 丢 弃 的 数 据 包 ： I P v 6 数 据 包 中 的 多 个 片 段 头 C V E - 2 0 2 1 - 2 4 0 7 4 的 下 一 代 防 火 墙 缓 解 措 施 的 下 一 代 防 火 墙 缓 解 措 施 运 行 P A N - O S   8 . 1 或 更 高 版 本 的 P a l o   A l t o   N e t w o r k s 下 一 代 防 火 墙 客 户 可 以 配 置 其 网 络 区 域 保 护 配 置 文 件 设 置 ， 以 通 过 为 格 式 错 误 ， 严 格 和 松 散 的 源 路 由 I P 选 项 启 用 I P 投 递 来 保 护 自 己 免 受 与 C V E - 2 0 2 1 - 2 4 0 7 4 相 关 的 攻 击 。 请 注 意 ， 作 为 I P 协 议 的 最 佳 实 践 ， P a l o   A l t o   N e t w o r k s 建 议 启 用 丢 弃 数 据 包 ， 以 丢 弃 格 式 错 误 ， 严 格 和 松 散 源 路 由 选 项 的 数 据 包 ， 因 为 允 许 这 些 选 项 允 许 对 手 绕 过 使 用 目 标 I P 地 址 作 为 匹 配 条 件 的 安 全 策 略 规 则 。 这 些 选 项 的 更 多 详 细 信 息 可 以 在 T e c h D o c s 文 章 “ 基 于 数 据 包 的 攻 击 防 护 ” 中 找 到 。 “ 配 置 基 于 数 据 包 的 攻 击 防 护 ” 页 面 包 含 配 置 区 域 保 护 配 置 文 件 以 丢 弃 具 有 I P 选 项 的 特 定 数 据 包 的 步 骤 。 使 用 以 下 选 项 将 区 域 保 护 配 置 为 丢 弃 I P 数 据 包 ： 步 骤 1 ： 创 建 区 域 保 护 配 置 文 件 并 配 置 基 于 数 据 包 的 攻 击 保 护 设 置 。 1 .   选 择 网 络 > 网 络 配 置 文 件 > 区 域 保 护 ， 然 后 添 加 新 的 配 置 文 件 。 2 .   输 入 配 置 文 件 的 名 称 和 可 选 的 描 述 。 3 .   选 择 基 于 数 据 包 的 攻 击 防 护 。 4 .   在 “   I P 丢 弃 ” 选 项 卡 上 ， 选 择 “ 基 于 数 据 包 的 攻 击 防 护 ” 设 置 选 项 卡 ， 然 后 选 中 “   I P 选 项 丢 弃 ” 下 的 “ 格 式 错 误 ， 严 格 源 路 由 和 松 散 源 路 由 ” 复 选 框 。 5 .   单 击 确 定 。 图 2 . 使 用 I P   D r o p 选 项 配 置 区 域 保 护 配 置 文 件 。
步 骤 2 ： 将 区 域 保 护 配 置 文 件 应 用 于 分 配 给 您 要 保 护 的 接 口 的 安 全 区 域 。 1 .   选 择 网 络 > 区 域 ， 然 后 选 择 要 在 其 中 分 配 区 域 保 护 配 置 文 件 的 区 域 。 2 .   添 加 属 于 该 区 域 的 接 口 。 3 .   对 于 “ 区 域 保 护 配 置 文 件 ” ， 选 择 刚 创 建 的 配 置 文 件 。 4 .   单 击 确 定 。 图 3 . 配 置 区 域 并 选 择 “ 区 域 保 护 配 置 文 件 ” 。 步 骤 3 ： 提 交 您 的 更 改 。 步 骤 4 ： （ P A N - O S   8 . 1 . 2 或 更 高 版 本 ） 如 果 启 用 了 相 应 的 基 于 数 据 包 的 攻 击 防 护 （ 在 步 骤 1 中 ， 请 启 用 防 火 墙 以 生 成 针 对 攻 击 的 威 胁 日 志 ， 并 为 上 述 数 据 包 类 型 生 成 威 胁 日 志 。 ） 。 例 如 ， 如 果 为 松 散 源 路 由 启 用 基 于 数 据 包 的 攻 击 防 护 ， 则 当 防 火 墙 使 用 L S R R 选 项 接 收 和 丢 弃 数 据 包 时 ， 使 用 以 下 命 令 行 界 面 （ C L I ） 会 使 防 火 墙 生 成 威 胁 日 志 。 客 户 可 以 利 用 此 选 项 进 行 故 障 排 除 。 1 .   访 问 C L I 。 2 .   使 用 可 操 作 的 C L I 命 令 集 系 统 设 置 e x t r a - t h r e a t - l o g   o n 。 默 认 为 关 闭 。
图 4 .   I P 格 式 错 误 的 威 胁 日 志 选 项 。 此 外 ， 可 以 在 U I 中 看 到 威 胁 日 志 ， 如 图 4 所 示 。 作 为 替 代 方 案 ， P a l o   A l t o   N e t w o r k s 下 一 代 防 火 墙 客 户 还 可 以 使 用 f l o w _ d o s _ p f _ b a d o p t i o n ， f l o w _ d o s _ p f _ s t r i c t s o u r c e 和 f l o w _ d o s _ p f _ s t r i c t s o u r c e 流 计 数 器 检 查 由 于 区 域 保 护 而 导 致 的 I P v 4 数 据 包 丢 弃 的 详 细 信 息 。 例 如 ， 命 令 s h o w   c o u n t e r 全 局 过 滤 器 增 量   m a t c h   f l o w _ d o s _ p f _ b a d o p t i o n 允 许 查 看 自 上 次 发 出 命 令 以 来 丢 弃 的 I P v 4 数 据 包 。 a d m i n   @   P A - 5 2 5 0 > 显 示 计 数 器 全 局 过 滤 器 增 量 是 |   匹 配 f l o w _ d o s _ p f _ b a d o p t i o n f l o w _ d o s _ p f _ b a d o p t i o n   1   0 丢 弃 流 d o s 丢 弃 的 数 据 包 ： 区 域 保 护 选 项 ' d i s c a r d - m a l f o r m e d - o p t i o n ' 对 于 C V E - 2 0 2 1 - 2 4 0 7 4 ， 当 启 用 “ 格 式 错 误 ” 的 区 域 保 护 I P 丢 弃 选 项 时 ， 格 式 错 误 的 数 据 包 会 导 致 对 后 续 数 据 包 的 错 误 的 宽 松 / 严 格 的 源 选 项 ， 从 而 被 丢 弃 。 由 于 内 部 防 火 墙 数 据 包 过 滤 ， 后 续 具 有 不 良 宽 松 / 严 格 来 源 的 I P 数 据 包 不 会 传 输 到 防 火 墙 。 由 于 I P v 4 源 路 由 被 认 为 是 不 安 全 的 ， 因 此 当 启 用 “ 松 散 源 路 由 ” 和 “ 严 格 源 路 由 ” 区 域 保 护 I P 丢 弃 选 项 时 ， 具 有 源 路 由 的 其 他 I P v 4 数 据 包 将 被 丢 弃 。 适 用 于 适 用 于 C V E - 2 0 2 1 - 2 4 0 7 4 ， ， C V E - 2 0 2 1 - 2 4 0 8 6 和 和 C V E - 2 0 2 1 - 2 4 0 9 4 的 的 C o r t e x   X D R 缓 解 措 施 缓 解 措 施 如 果 您 是 P a l o   A l t o   N e t w o r k s   C o r t e x   X D R 代 理 客 户 版 本 7 . 1 或 更 高 版 本 ， 则 可 以 从 2 月 1 0 日 开 始 利 用 您 的 代 理 修 改 系 统 设 置 ， 以 保 护 未 打 补 丁 的 终 结 点 不 受 这 些 漏 洞 的 影 响 ， 直 到 安 装 W i n d o w s 更 新 为 止 。 解 决 方 法 是 通 过 E n d p o i n t   E x p l o i t 安 全 配 置 文 件 管 理 的 ， 并 且 需 要 最 新 的 内 容 更 新 。 您 可 以 编 辑 任 何 现 有 配 置 文 件 ， 也 可 以 创 建 新 的 配 置 文 件 以 根 据 需 要 包 含 解 决 方 法 。 在 “ 未 修 补 的 漏 洞 保 护 ” 部 分 下 ， 通 过 选 择 以 下 选 项 之 一 来 定 义 C V E - 2 0 2 1 - 2 4 0 7 4 ， C V E - 2 0 2 1 - 2 4 0 8 6 和 C V E - 2 0 2 1 - 2 4 0 9 4 的 解 决 方 法 设 置 ： 不 修 改 系 统 设 置 （ 默 认 ） ： 不 修 改 系 统 设 置 （ 默 认 ） ： 不 管 当 前 值 是 原 始 值 还 是 作 为 此 变 通 办 法 一 部 分 修 改 的 值 ， 都 不 要 修 改 端 点 上 当 前 设 置 的 I P v 4 和 I P v 6 设 置 。 修 改 系 统 设 置 ， 直 到 修 补 了 端 点 ： 修 改 系 统 设 置 ， 直 到 修 补 了 端 点 ： C o r t e x   X D R 代 理 在 端 点 上 运 行 以 下 命 令 以 临 时 修 改 I P v 4 和 I P v 6 设 置 ， 直 到 修 补 了 端 点 。 修 补 端 点 后 ， 所 有 修 改 后 的 W i n d o w s 系 统 设 置 都 会 自 动 恢 复 为 修 改 前 的 值 。 帕 洛 阿 尔 托 网 络 公 司 （ P a l o   A l t o   N e t w o r k s ） 强 烈 建 议 您 在 网 络 中 应 用 此 变 通 办 法 之 前 ， 先 阅 读 以 下 命 令 ， 以 确 保 不 会 影 响 或 损 害 您 的 业 务 关 键 组 件 。 1 .   要 在 端 点 上 禁 用 I P v 6 分 段 ， 请 执 行 以 下 操 作 ： n e t s h   i n t   i p v 6   s e t   g l o b a l   r e a s s e m b l y l i m i t   =   0 2 .   要 禁 用 I P v 4 的 松 散 源 路 由 ： n e t s h   i n t   i p v 4   s e t   g l o b a l   s o u r c e r o u t i n g b e h a v i o r   =   d r o p 将 系 统 设 置 恢 复 为 以 前 的 设 置 ： 作 为 此 解 决 方 法 的 一 部 分 ， 无 论 是 否 修 补 了 端 点 ， 都 将 所 有 W i n d o w s 系 统 设 置 恢 复 为 修 改 前 的 值 。
结 论 结 论 作 为 M i c r o s o f t   A c t i v e   P r o t e c t i o n s 计 划 （ M A P P ） 计 划 的 成 员 ， P a l o   A l t o   N e t w o r k s 收 到 了 该 漏 洞 的 早 期 详 细 信 息 ， 从 而 进 一 步 了 解 了 该 威 胁 ， 从 而 帮 助 我 们 实 现 了 强 大 的 产 品 覆 盖 范 围 。 与 往 常 一 样 ， 我 们 建 议 为 您 的 M i c r o s o f t 产 品 提 供 最 新 的 修 补 程 序 ， 以 缓 解 此 漏 洞 。 P a l o   A l t o   N e t w o r k s 将 使 用 可 用 的 新 信 息 和 建 议 来 更 新 此 威 胁 简 介 。 其 他 资 源 其 他 资 源 W i n d o w s   T C P   /   I P 远 程 执 行 代 码 漏 洞 ， C V E - 2 0 2 1 - 2 4 0 7 4 h t t p s : / / m s r c . m i c r o s o f t . c o m / u p d a t e - g u i d e / e n - u s / v u l n e r a b i l i t y / C V E - 2 0 2 1 - 2 4 0 7 4 W i n d o w s   T C P   /   I P 拒 绝 服 务 漏 洞 （ C V E - 2 0 2 1 - 2 4 0 8 6 ） h t t p s : / / m s r c . m i c r o s o f t . c o m / u p d a t e - g u i d e / e n - u s / v u l n e r a b i l i t y / C V E - 2 0 2 1 - 2 4 0 8 6 W i n d o w s   T C P   /   I P 远 程 执 行 代 码 漏 洞 ， C V E - 2 0 2 1 - 2 4 0 9 4 h t t p s : / / m s r c . m i c r o s o f t . c o m / u p d a t e - g u i d e / e n - u s / v u l n e r a b i l i t y / C V E - 2 0 2 1 - 2 4 0 9 4 M i c r o s o f t 的 2 0 2 1 年 2 月 安 全 更 新 h t t p s : / / m s r c . m i c r o s o f t . c o m / u p d a t e - g u i d e / e n - u s / r e l e a s e N o t e / 2 0 2 1 - F e b 基 于 数 据 包 的 攻 击 防 护 h t t p s : / / d o c s . p a l o a l t o n e t w o r k s . c o m / p a n - o s / 1 0 - 0 / p a n - o s - a d m i n / z o n e - p r o t e c t i o n - a n d - d o s - p r o t e c t i o n / z o n e - d e f e n s e / z o n e - p r o t e c t i o n - p r o f i l e s / p a c k e t - b a s e d - a t t a c k - p r o t e c t i o n . h t m l 配 置 基 于 数 据 包 的 攻 击 防 护 h t t p s : / / d o c s . p a l o a l t o n e t w o r k s . c o m / p a n - o s / 1 0 - 0 / p a n - o s - a d m i n / z o n e - p r o t e c t i o n - a n d - d o s - p r o t e c t i o n / c o n f i g u r e - z o n e - p r o t e c t i o n - t o - i n c r e a s e - n e t w o r k - s e c u r i t y / c o n f i g u r e - p a c k e t - b a s e d - a t t a c k - p r o t e c t i o n . h t m l 本 文 翻 译 自 ： h t t p s : / / u n i t 4 2 . p a l o a l t o n e t w o r k s . c o m / c v e - 2 0 2 1 - 2 4 0 7 4 - p a t c h - t u e s d a y /
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理