CVE-2017-11771

Описание

Злоумышленник, успешно воспользовавшийся этой уязвимостью, способен получить контроль над затронутой системой. После этого он способен устанавливать программы; просматривать, изменять или удалять данные; а также создавать новые учетные записи с полными правами пользователя.

Условия эксплуатации

Злоумышленник способен отправить специально созданные сообщения в службу Windows Search, чтобы воспользоваться уязвимостью. Злоумышленник с доступом к целевому компьютеру способен использовать эту уязвимость для повышения уровня доступа и получения контроля над компьютером. Кроме того, в корпоративной среде удаленный неаутентифицированный злоумышленник способен активировать уязвимость через SMB-соединение и затем получить контроль над целевым компьютером.

Решение

Обновление безопасности устраняет уязвимость путем корректировки обработки объектов в памяти Windows Search.

Способы защиты: Отключение службы WSearch

Шаги по развертыванию обходных способов вручную

1. Нажмите Пуск, выберите Выполнить, введите "regedit" (без кавычек) и нажмите OK.
2. Разверните HKEY_LOCAL_MACHINE.
3. Разверните System, затем CurrentControlSet, затем Services.
4. Выберите WSearch.
5. В меню Файл выберите Экспорт.
6. В диалоге Экспорт файла реестра введите “WSearch_configuration_backup.reg” и нажмите Сохранить.
7. Дважды щелкните по значению с именем Start и измените поле Value data на 4.
8. Нажмите OK.
9. Запустите следующую команду в командной строке от имени администратора: sc stop WSearch.

Влияние обходного способа

Функциональность Windows Search не будет доступна для приложений, использующих ее для поиска.

Как отменить обходной способ

Нажмите Пуск, выберите Выполнить, введите "regedit" (без кавычек) и нажмите OK. В меню Файл выберите Импорт. В диалоге Импорт файла реестра выберите “WSearch_configuration_backup.reg” и нажмите Открыть.

Управляемые шаги по развертыванию обходных способов

1. Сначала создайте резервную копию ключей реестра с помощью управляемого сценария развертывания с следующей командой: regedit /e WSearch_configuration_backup.reg HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WSearch.

2. Затем сохраните следующее в файл с расширением .REG (например, Disable_WSearch.reg).

   [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WSearch] "Start"=dword:00000004

3. Запустите созданный в шаге 2 скрипт реестра на целевой машине с помощью следующей команды: regedit /s Disable_WSearch.reg.

4. Запустите следующую команду в командной строке от имени администратора: sc stop WSearch.

Влияние обходного способа

Функциональность Windows Search не будет доступна для приложений, использующих ее для поиска.

Как отменить обходной способ

Восстановите исходное состояние, запустив следующую команду: regedit /s WSearch_configuration_backup.reg.