【安全通告】Windows TCP/IP远程代码执行漏洞 (CVE-2020-16898)
2020-10-14
综述
当地时间10月13日，微软最新的月度补丁更新中修复了一枚存在于Windows TCP/IP堆栈中的Critical级别漏洞（CVE-2020-16898，代号“Bad Neighbor”）。攻击者通过发送恶意制作的ICMPv6 Router Advertisement数据包，有可能在远程系统上执行任意代码。
McAfee 表示，MAPP（Microsoft Active Protection）计划成员共享的概念验证代码既简单又可靠，可导致蓝屏死机。
微软官方给出的评分为 9.8 ：CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-16898
漏洞概述
当Windows TCP/IP堆栈未正确处理使用Option类型为 25（递归DNS服务器）且Length字段值为偶数的 ICMPv6 Router Advertisement数据包时，存在漏洞。
当Length值为偶数时，Windows TCP/IP协议栈错误地将网络缓冲区提前了8个字节。这是因为堆栈内部以16字节为增量进行计数，没有考虑到使用非RFC兼容长度值的情况。这种不匹配导致堆栈将当前option的最后8个字节解释为第二个option的开始，最终导致缓冲区溢出和潜在的RCE。
参考链接：
https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/
受影响产品版本
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for ARM64-based Systems
Windows 10 Version 1709 for x64-based Systems
Windows 10 Version 1803 for 32-bit Systems
Windows 10 Version 1803 for ARM64-based Systems
Windows 10 Version 1803 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 2004 for 32-bit Systems
Windows 10 Version 2004 for ARM64-based Systems
Windows 10 Version 2004 for x64-based Systems
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)
解决方案
微软官方已针对受影响系统发布安全补丁，强烈建议相关用户尽快更新。补丁升级，参考链接:
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-16898
另外，还提供了以下缓解措施：
禁用ICMPv6 RDNSS
使用下面的PowerShell命令可禁用ICMPv6 RDNSS，以防止攻击者利用此漏洞。此解决方法仅适用于Windows 1709及更高版本。
|
netsh int ipv6 set int *INTERFACENUMBER* rabaseddnsconfig=disable |
备注： 进行更改后，无需重新启动。
如需禁用以上缓解措施，执行如下命令：
|
netsh int ipv6 set int *INTERFACENUMBER* rabaseddnsconfig=enable |
备注：执行后也无需重新启动。
声 明
本安全公告仅用来描述可能存在的安全问题，尊龙凯时科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，尊龙凯时科技以及安全公告作者不为此承担任何责任。尊龙凯时科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经尊龙凯时科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于尊龙凯时科技
尊龙凯时科技集团股份有限公司（简称尊龙凯时科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，尊龙凯时科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
尊龙凯时科技集团股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：尊龙凯时科技，股票代码：300369。
