Microsoft Güvenlik Bülteni MS14-068 - Kritik
Kerberos'taki Güvenlik Açığı AyrıcalıkLarın Yükseltilmesine İzin Verebilir (3011780)
Yayımlanma Tarihi: 18 Kasım 2014
Sürüm: 1.0
Yönetici Özeti
Bu güvenlik güncelleştirmesi, Microsoft Windows Kerberos KDC'de bir saldırganın ayrıcalıksız etki alanı kullanıcı hesabı ayrıcalıklarını etki alanı yönetici hesabı ayrıcalıklarına yükseltmesine izin verebilecek özel olarak bildirilen bir güvenlik açığını giderir. Saldırgan, etki alanı denetleyicileri de dahil olmak üzere etki alanındaki herhangi bir bilgisayarın güvenliğini aşmak için bu yükseltilmiş ayrıcalıkları kullanabilir. Bir saldırganın bu güvenlik açığından yararlanabilmesi için geçerli etki alanı kimlik bilgilerine sahip olması gerekir. Etkilenen bileşen, etki alanı kimlik bilgilerine sahip standart kullanıcı hesaplarına sahip kullanıcılar tarafından uzaktan kullanılabilir; Bu durum yalnızca yerel hesap kimlik bilgilerine sahip kullanıcılar için geçerli değildir. Bu güvenlik bülteni yayımlandığında, Microsoft bu güvenlik açığından yararlanmaya çalışan sınırlı, hedefli saldırıların farkındaydı.
Bu güvenlik güncelleştirmesi Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 ve Windows Server 2012 R2'nin desteklenen tüm sürümleri için Kritik olarak derecelendirilmiştir. Güncelleştirme ayrıca Windows Vista, Windows 7, Windows 8 ve Windows 8.1'in desteklenen tüm sürümleri için derinlemesine savunma temelinde sağlanıyor. Daha fazla bilgi için Etkilenen Yazılım bölümüne bakın.
Güvenlik güncelleştirmesi, Kerberos'un Windows uygulamalarında imza doğrulama davranışını düzelterek güvenlik açığını giderir. Güvenlik açığı hakkında daha fazla bilgi için, belirli bir güvenlik açığı için Sık Sorulan Sorular (SSS) alt bölümüne bakın.
Bu güncelleştirme hakkında daha fazla bilgi için 3011780 Microsoft Bilgi Bankası makalesine bakın.
Etkilenen Yazılım
Aşağıdaki yazılım, hangi sürümlerin veya sürümlerin etkilendiğini belirlemek için test edilmiştir. Diğer sürümler veya sürümler destek yaşam döngüsünü geçmiştir veya etkilenmez. Yazılım sürümünüz veya sürümünüz için destek yaşam döngüsünü belirlemek için bkz. Microsoft Desteği Yaşam Döngüsü.
Etkilenen Yazılım
| İşletim Sistemi | En Yüksek Güvenlik Etkisi | Toplam Önem Derecesi | Güncelleştirmeler Değiştirildi |
|---|---|---|---|
| Windows Server 2003 | |||
| Windows Server 2003 Service Pack 2 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | MS11-013'te 2478971 |
| Windows Server 2003 x64 Edition Service Pack 2 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | MS11-013'te 2478971 |
| Itanium Tabanlı Sistemler için Windows Server 2003 SP2 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | MS11-013'te 2478971 |
| Windows Vista | |||
| Windows Vista Service Pack 2 (3011780) | Hiçbiri | Önem derecesi yok[1] | Hiçbiri |
| Windows Vista x64 Edition Service Pack 2 (3011780) | Hiçbiri | Önem derecesi yok[1] | Hiçbiri |
| Windows Server 2008 | |||
| 32 bit Sistemler için Windows Server 2008 Service Pack 2 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | MS10-014'te 977290 |
| x64 tabanlı Sistemler için Windows Server 2008 Service Pack 2 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | MS10-014'te 977290 |
| Itanium Tabanlı Sistemler için Windows Server 2008 Service Pack 2 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | Hiçbiri |
| Windows 7 | |||
| 32 bit Sistemler için Windows 7 Service Pack 1 (3011780) | Hiçbiri | Önem derecesi yok[1] | SA2871997'da 2982378 |
| x64 tabanlı Sistemler için Windows 7 Service Pack 1 (3011780) | Hiçbiri | Önem derecesi yok[1] | SA2871997'da 2982378 |
| Windows Server 2008 R2 | |||
| x64 tabanlı Sistemler Service Pack 1 için Windows Server 2008 R2 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | SA2871997'da 2982378 |
| Itanium Tabanlı Sistemler için Windows Server 2008 R2 Service Pack 1 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | SA2871997'da 2982378 |
| Windows 8 ve Windows 8.1 | |||
| 32 bit Sistemler için Windows 8 (3011780) | Hiçbiri | Önem derecesi yok[1] | Hiçbiri |
| x64 Tabanlı Sistemler için Windows 8 (3011780) | Hiçbiri | Önem derecesi yok[1] | Hiçbiri |
| 32 bit Sistemler için Windows 8.1 (3011780) | Hiçbiri | Önem derecesi yok[1] | Hiçbiri |
| x64 Tabanlı Sistemler için Windows 8.1 (3011780) | Hiçbiri | Önem derecesi yok[1] | Hiçbiri |
| Windows Server 2012 ve Windows Server 2012 R2 | |||
| Windows Server 2012 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | Hiçbiri |
| Windows Server 2012 R2 (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | Hiçbiri |
| Sunucu Çekirdeği yükleme seçeneği | |||
| 32 bit Sistemler için Windows Server 2008 Service Pack 2 (Sunucu Çekirdeği yüklemesi) (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | MS10-014'te 977290 |
| x64 tabanlı Sistemler için Windows Server 2008 Service Pack 2 (Sunucu Çekirdeği yüklemesi) (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | MS10-014'te 977290 |
| x64 tabanlı Sistemler Için Windows Server 2008 R2 Service Pack 1 (Sunucu Çekirdeği yüklemesi) (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | SA2871997'da 2982378 |
| Windows Server 2012 (Sunucu Çekirdeği yüklemesi) (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | Hiçbiri |
| Windows Server 2012 R2 (Sunucu Çekirdeği yüklemesi) (3011780) | Elevation of Privilege (Ayrıcalık Yükseltme) | Kritik | Hiçbiri |
Not Güncelleştirme, Windows Technical Preview ve Windows Server Technical Preview için kullanılabilir. Bu işletim sistemlerini çalıştıran müşterilerin, Windows Update aracılığıyla sağlanan güncelleştirmeyi uygulaması teşvik edilir.
[1]Bu bültende giderilen güvenlik açığı mevcut olmadığından önem derecesi derecelendirmeleri bu işletim sistemi için geçerli değildir. Bu güncelleştirme, bilinen güvenlik açıklarını düzeltmeyen ek derinlemesine savunma sağlamlaştırma sağlar.
Önem Derecesi Ve Güvenlik Açığı Tanımlayıcıları
Aşağıdaki önem derecesi, güvenlik açığının olası en yüksek etkisini varsayar. Bu güvenlik bülteninin yayımlanmasının ardından 30 gün içinde güvenlik açığının önem derecesi ve güvenlik etkisiyle ilgili olarak bu güvenlik açığından yararlanma olasılığıyla ilgili bilgi için kasım bülteni özetindeki Exploitability Index'e bakın.
| Güvenlik Açığı Önem Derecesi ve Etkilenen Yazılımların En Yüksek Güvenlik Etkisi | ||
|---|---|---|
| Etkilenen Yazılım | Kerberos Sağlama Toplamı Güvenlik Açığı - CVE-2014-6324 | Toplam Önem Derecesi |
| Windows Server 2003 | ||
| Windows Server 2003 Service Pack 2 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Windows Server 2003 x64 Edition Service Pack 2 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Itanium Tabanlı Sistemler için Windows Server 2003 SP2 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Windows Vista | ||
| Windows Vista Service Pack 2 (3011780) | Önem derecesi yok | Önem derecesi yok |
| Windows Vista x64 Edition Service Pack 2 (3011780) | Önem derecesi yok | Önem derecesi yok |
| Windows Server 2008 | ||
| 32 bit Sistemler için Windows Server 2008 Service Pack 2 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| x64 tabanlı Sistemler için Windows Server 2008 Service Pack 2 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Itanium Tabanlı Sistemler için Windows Server 2008 Service Pack 2 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Windows 7 | ||
| 32 bit Sistemler için Windows 7 Service Pack 1 (3011780) | Önem derecesi yok | Önem derecesi yok |
| x64 tabanlı Sistemler için Windows 7 Service Pack 1 (3011780) | Önem derecesi yok | Önem derecesi yok |
| Windows Server 2008 R2 | ||
| x64 tabanlı Sistemler Service Pack 1 için Windows Server 2008 R2 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Itanium Tabanlı Sistemler için Windows Server 2008 R2 Service Pack 1 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Windows 8 ve Windows 8.1 | ||
| 32 bit Sistemler için Windows 8 (3011780) | Önem derecesi yok | Önem derecesi yok |
| x64 Tabanlı Sistemler için Windows 8 (3011780) | ||
| 32 bit Sistemler için Windows 8.1 (3011780) | Önem derecesi yok | Önem derecesi yok |
| x64 Tabanlı Sistemler için Windows 8.1 (3011780) | Önem derecesi yok | Önem derecesi yok |
| Windows Server 2012 ve Windows Server 2012 R2 | ||
| Windows Server 2012 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Windows Server 2012 R2 (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Sunucu Çekirdeği yükleme seçeneği | ||
| 32 bit Sistemler için Windows Server 2008 Service Pack 2 (Sunucu Çekirdeği yüklemesi) (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| x64 tabanlı Sistemler için Windows Server 2008 Service Pack 2 (Sunucu Çekirdeği yüklemesi) (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| x64 tabanlı Sistemler Için Windows Server 2008 R2 Service Pack 1 (Sunucu Çekirdeği yüklemesi) (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Windows Server 2012 (Sunucu Çekirdeği yüklemesi) (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
| Windows Server 2012 R2 (Sunucu Çekirdeği yüklemesi) (3011780) | Kritik Ayrıcalık Yükseltmesi | Kritik |
Kerberos Sağlama Toplamı Güvenlik Açığı - CVE-2014-6324
Microsoft Windows'ta Kerberos KDC uygulamalarında uzaktan ayrıcalık yükseltme güvenlik açığı bulunmaktadır. Bu güvenlik açığı, Microsoft Kerberos KDC uygulamaları imzaları düzgün bir şekilde doğrulayamadığında oluşur ve bu da Kerberos hizmet anahtarının belirli yönlerinin sahte olmasına izin verebilir. Microsoft, eşgüdümlü güvenlik açığının açığa çıkması yoluyla bu güvenlik açığı hakkında bilgi aldı. Bu güvenlik bülteni yayımlandığında, Microsoft bu güvenlik açığından yararlanmaya çalışan sınırlı, hedefli saldırıların farkındaydı. Bilinen saldırıların Windows Server 2012 veya Windows Server 2012 R2 çalıştıran sistemleri etkilemediğini unutmayın. Güncelleştirme, Kerberos'un Windows uygulamalarında imza doğrulama davranışını düzelterek güvenlik açığını giderir.
Azaltıcı Faktörler
Aşağıdaki hafifletici faktörler sizin durumunuzda yararlı olabilir:
- Bir saldırganın bu güvenlik açığından yararlanabilmesi için geçerli etki alanı kimlik bilgilerine sahip olması gerekir. Etkilenen bileşen, etki alanı kimlik bilgilerine sahip standart kullanıcı hesaplarına sahip kullanıcılar tarafından uzaktan kullanılabilir; Bu durum yalnızca yerel hesap kimlik bilgilerine sahip kullanıcılar için geçerli değildir.
Geçici Çözümler
Microsoft bu güvenlik açığı için herhangi bir geçici çözüm tanımlamamıştır.
SSS
Bir saldırgan güvenlik açığını ne yapmak için kullanabilir?
Saldırgan, ayrıcalıksız bir etki alanı kullanıcı hesabını bir etki alanı yöneticisi hesabına yükseltmek için bu güvenlik açığını kullanabilir. Bu güvenlik açığından başarıyla yararlanan bir saldırgan, etki alanı yöneticileri de dahil olmak üzere etki alanındaki tüm kullanıcıların kimliğine bürünebilir ve herhangi bir gruba katılabilir. Saldırgan, etki alanı yöneticisinin kimliğine bürünerek programları yükleyebilir; verileri görüntüleme, değiştirme veya silme; veya etki alanına katılmış herhangi bir sistemde yeni hesaplar oluşturun.
Bir saldırgan bu güvenlik açığından nasıl yararlanabilir?
Kimliği doğrulanmış bir etki alanı kullanıcısı Kerberos KDC'sine, kullanıcının etki alanı yöneticisi olduğunu iddia eden sahte bir Kerberos bileti gönderebilir. Kerberos KDC, saldırgandan gelen istekleri işlerken sahte anahtar imzasını yanlış doğrular ve saldırganın bir etki alanı yöneticisinin kimliğiyle ağdaki herhangi bir kaynağa erişmesine olanak tanır.
Güvenlik açığından birincil olarak hangi sistemler risk altındadır?
Kerberos Anahtar Dağıtım Merkezi (KDC) olarak davranacak şekilde yapılandırılmış etki alanı denetleyicileri öncelikli olarak risk altındadır.
Güvenlik Güncelleştirmesi Dağıtımı
Güvenlik Güncelleştirmesi Dağıtım bilgileri için Yönetici Özeti'nde başvuruda bulunan Microsoft Bilgi Bankası makalesine bakın.
İlgili kaynaklar
Microsoft, güvenlik topluluğundaki müşterilerin eşgüdümlü güvenlik açığının açığa çıkması yoluyla korunmasına yardımcı olan kişilerin çabalarını tanır. Daha fazla bilgi için bkz . Bildirimler .
Bildirim
Microsoft Bilgi Bankası'nda sağlanan bilgiler herhangi bir garanti olmadan "olduğu gibi" sağlanır. Microsoft, satılabilirlik ve belirli bir amaca uygunluk garantileri dahil olmak üzere açık veya zımni tüm garantileri reddeder. Microsoft Corporation veya tedarikçilerine bu tür zararlar olabileceği bildirilmiş olsa bile, doğrudan, dolaylı, arızi, neticede iş kârı kaybı veya özel zararlar dahil olmak üzere hiçbir durumda Microsoft Corporation veya tedarikçileri herhangi bir zarardan sorumlu tutulamaz. Bazı eyaletler, ortaya çıkabilecek veya arızi zararlar için sorumluluğun hariç tutulmasına veya sınırlandırılmasına izin vermez, bu nedenle söz konusu sınırlama geçerli olmayabilir.
Düzeltmeler
- V1.0 (18 Kasım 2014): Bülten yayımlandı.
Sayfa oluşturuldu 2015-01-14 11:40Z-08:00.