CVE-2017-8589

Описание

Злоумышленник, успешно воспользовавшийся этой уязвимостью, способен получить контроль над атакуемой системой. После этого он может устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами пользователя.

Условия эксплуатации

Чтобы воспользоваться уязвимостью, злоумышленник может отправить специально сформированные сообщения службе Windows Search. Злоумышленник, имеющий доступ к целевому компьютеру, способен использовать уязвимость для повышения уровня доступа и захвата контроля над компьютером. Кроме того, в корпоративной среде удаленный неаутентифицированный злоумышленник может активировать уязвимость через SMB-соединение и захватить контроль над целевым компьютером.

Решение

Обновление безопасности исправляет уязвимость, корректируя способ обработки объектов в памяти Windows Search.

Способы защиты

Отключение службы WSearch

Интерактивные шаги по развертыванию:

1. Нажмите Пуск, выберите Выполнить, введите "regedit" (без кавычек) и нажмите ОК.
2. Разверните HKEY_LOCAL_MACHINE.
3. Разверните System, затем CurrentControlSet, затем Services.
4. Выберите WSearch.
5. Перейдите в меню Файл и выберите Экспорт.
6. В диалоге экспорта реестра введите “WSearch_configuration_backup.reg” и нажмите Сохранить.
7. Дважды щелкните параметр с именем Start и измените значение на 4.
8. Нажмите ОК.
9. Выполните следующую команду в командной строке, запущенной от имени администратора:
   sc stop WSearch

Влияние защиты

Функциональность Windows Search будет недоступна для приложений, использующих ее для поиска.

Как отменить защиту

1. Нажмите Пуск, выберите Выполнить, введите "regedit" (без кавычек) и нажмите ОК.
2. Перейдите в меню Файл и выберите Импорт.
3. В диалоге импорта реестра выберите “WSearch_configuration_backup.reg” и нажмите Открыть.

Управляемые шаги по развертыванию:

1. Сначала создайте резервную копию ключей реестра с помощью команды управления развертыванием:
   regedit /e WSearch_configuration_backup.reg HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WSearch
2. Затем сохраните следующие данные в файл с расширением .REG (например, Disable_WSearch.reg):
   [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WSearch] "Start"=dword:00000004
3. Запустите созданный в шаге 2 скрипт реестра на целевой машине с помощью команды:
   regedit /s Disable_WSearch.reg
4. Выполните следующую команду в командной строке, запущенной от имени администратора:
   sc stop WSearch

Влияние защиты

Функциональность Windows Search будет недоступна для приложений, использующих ее для поиска.

Как отменить защиту

Восстановите исходное состояние, запустив следующую команду:

Загрузка...