CVE-2017-8543

Описание

Злоумышленник, успешно использовавший эту уязвимость, способен взять под контроль уязвимую систему, а затем устанавливать программы; просматривать, изменять или удалять данные; создавать новые учетные записи с полными правами пользователя.

Условия эксплуатации

Для эксплуатации уязвимости злоумышленник способен отправить специально сформулированные сообщения службе Windows Search. Злоумышленник с доступом к целевому компьютеру способен использовать данную уязвимость для повышения уровня доступа и получения контроля над компьютером. Кроме этого, в корпоративной среде удаленный неаутентифицированный злоумышленник сможет дистанционно активировать уязвимость через соединение SMB и затем получить контроль над целевым компьютером.

Решение

Обновление безопасности устраняет уязвимость, исправляя способ, которым Windows Search обрабатывает объекты в памяти.

Способы защиты

Отключение службы WSearch

Шаги для интерактивного развертывания

1. Нажмите Пуск, выберите Выполнить, введите "regedit" (без кавычек) и нажмите ОК.
2. Разверните HKEY_LOCAL_MACHINE.
3. Разверните System, затем CurrentControlSet, затем Services.
4. Нажмите на WSearch.
5. В меню Файл выберите Экспорт.
6. В диалоге Экспорт файла реестра введите “WSearch_configuration_backup.reg” и нажмите Сохранить.
7. Дважды нажмите на значение с именем Start и измените поле Значение на 4.
8. Нажмите ОК.
9. Выполните следующую команду в командной строке от имени администратора:
   sc stop WSearch

Влияние способа защиты

Функциональность Windows Search будет недоступна для приложений, использующих ее для поиска.

Как отменить способ защиты

1. Нажмите Пуск, выберите Выполнить, введите "regedit" (без кавычек) и нажмите ОК.
2. В меню Файл выберите Импорт.
3. В диалоге Импорт файла реестра выберите “WSearch_configuration_backup.reg” и нажмите Открыть.

Шаги для управляемого развертывания

1. Сначала создайте резервную копию ключей реестра, используя команду:
   regedit /e WSearch_configuration_backup.reg HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WSearch
2. Затем сохраните следующее в файл с расширением .REG (например, Disable_WSearch.reg):
   [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WSearch] "Start"=dword:00000004
3. Выполните созданный на шаге 2 скрипт реестра на целевом компьютере следующей командой:
   regedit /s Disable_WSearch.reg
4. Выполните следующую команду в командной строке от имени администратора:
   sc stop WSearch

Как отменить способ защиты

Восстановите исходное состояние, выполнив следующую команду: