CVE-2017-8620

Описание

Уязвимость позволяет злоумышленнику, успешно ее использующему, получить контроль над атакуемой системой. Злоумышленник способен устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами пользователя.

Условия эксплуатации

Для эксплуатации уязвимости злоумышленник может отправить специально сформированные сообщения службе Windows Search. С имеющим доступ к целевому компьютеру злоумышленник способен использовать данную уязвимость для увеличения уровня доступа и получения контроля над компьютером. В корпоративной среде удаленный неаутентифицированный злоумышленник может удаленно активировать уязвимость через подключение SMB и затем взять контроль над целевым компьютером.

Решение

Обновление безопасности исправляет уязвимость, корректируя обработку объектов в памяти службой Windows Search.

Способы защиты

Отключение службы WSearch

1. Нажмите Пуск, выберите Выполнить, введите "regedit" (без кавычек) и нажмите ОК.
2. Разверните HKEY_LOCAL_MACHINE.
3. Разверните System, затем CurrentControlSet, затем Services.
4. Выберите WSearch.
5. Перейдите в меню Файл и выберите Экспорт.
6. В диалоговое окно Экспорт файла реестра введите “WSearch_configuration_backup.reg” и нажмите Сохранить.
7. Дважды щелкните значение Start и измените поле Значение на 4.
8. Нажмите ОК.
9. Выполните следующую команду от имени администратора:
   sc stop WSearch

Влияние на систему

Функционал Windows Search будет недоступен приложениям, использующим его для поиска.

Как отменить

1. Нажмите Пуск, выберите Выполнить, введите "regedit" (без кавычек) и нажмите ОК.
2. Перейдите в меню Файл и выберите Импорт.
3. В диалоговом окне Импорта файла реестра выберите “WSearch_configuration_backup.reg” и нажмите Открыть.

Автоматическое развертывание защиты

1. Создайте резервную копию ключей реестра с помощью управляемого сценария развертывания следующей командой:

   regedit /e WSearch_configuration_backup.reg HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WSearch

2. Сохраните следующий текст в файл с расширением .REG (например, Disable_WSearch.reg):

   [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WSearch] "Start"=dword:00000004

3. Выполните сценарий реестра, созданный на шаге 2, на целевой машине командой:

   regedit /s Disable_WSearch.reg

4. Выполните следующую команду от имени администратора:

   sc stop WSearch

Как отменить

Верните систему в исходное состояние, выполнив следующую команду: