中文
2021-02-10 00:00:00
2月10日，微軟官方發布了一則漏洞安全通告，通告披露了Windows TCP/IP組件存在遠程命令執行漏洞，漏洞編號：CVE-2021-24074, CVE-2021-24094；以及拒絕服務漏洞，漏洞編號：CVE-2021-24086。由于在處理IP包分片的時候未能正確重組，攻擊者可利用該漏洞在未授權的情況下，構造惡意數據執行“遠程代碼執行”或“拒絕服務攻擊”攻擊，最終造成獲取終端最高權限或使終端無法正常工作。
漏洞名稱：Windows TCP/IP 遠程命令執行漏洞；
Windows TCP/IP 拒絕服務漏洞；
相應組件：Tcpip.sys
威脅等級：高危
影響范圍：Windows 7 SP1
Windows 8.1
Windows RT 8.1
Windows 10
Windows 10 Version 1607, 1803，1809, 1909, 2004，20H2
Windows Server 2008 SP2
Windows Server 2008 R2 SP1
Windows Server 2012, 2012 R2, 2016, 2019
Windows Server version 1909, 2004，20h2
利用條件：不需要用戶認證；遠程觸發
漏洞分析
組件介紹
Windows TCP/IP是由微軟公司實現的TCP/IP協議族，TCP/IP提供了點對點鏈接的機制，將數據應該如何封裝、尋址、傳輸、路由以及在目的地如何接收，都加以標準化。它將軟件通信過程抽象化為四個抽象層，采取協議堆棧的方式，分別實現出不同通信協議。協議族下的各種協議，依其功能不同，分別歸屬到這四個層次結構之中，常視為是簡化的七層OSI模型。
漏洞描述
Windows TCP/IP遠程命令執行漏洞CVE-2021-24074, CVE-2021-24094，在處理IP包分片的時候未能正確重組，攻擊者可利用漏洞在未授權的情況下，構造惡意數據執行遠程代碼執行攻擊，最終造成獲取終端最高權限。
Windows TCP/IP拒絕服務漏洞CVE-2021-24086，在處理IP包分片的時候未能正確重組產生了零指針解引用，攻擊者可利用該漏洞在未授權的情況下，構造惡意數據執行拒絕服務攻擊，最終造成終端無法正常工作。
解決方案
檢測組件系統版本
通過命令行執行“winver”命令即可確認當前Windows的版本是否受影響。
官方修復建議（補丁、版本更新）
1、當前官方已發布受影響版本的對應補?。ó斍肮俜揭寻l布最新版本），建議受影響的用戶及時更新官方的安全補?。皶r更新升級到最新版本）。
鏈接如下：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-24074
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-24086
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-24094
2、對于暫時不能更新的終端可使用以下解決方案：
（1）命令行修改注冊表方式（推薦使用該方式進行修改）
IPv4下將sourceroutingbehavior設置為“drop”：
netsh int ipv4 set global sourceroutingbehavior=drop
IPv6下將global reassemblylimit 設置為0：
netsh int ipv6 set global reassemblylimit=0
使用該解決方案的效果：
IPv4源路由在Windows中被認為是不安全的且默認被阻止；然而系統會處理請求并回復一個ICMP包來拒絕請求，該解決方案會使系統不進行任何處理直接丟棄請求。
IPv6下的命令則關閉了IPv6的包重組，任何不按照序列的包都會被丟棄。正常情境下不會超過50個不按照序列的包。
撤銷該解決方案的方法：
恢復默認設定“dontforward”：
netsh int ipv4 set global sourceroutingbehavior=dontforward
恢復默認設定“267748640”：
netsh int ipv6 set global reassemblylimit=267748640
（2）手動修改注冊表方式
在注冊表更改鍵值
路徑：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\
值名：
DisableIPSourceRouting
值類型：
REG_DWORD
值：
2
