AG公司云
【清静通告】Windows TCP/IP远程代码执行误差 (CVE-2020-16898)
2020-10-14
综述
外地时间10月13日，微软最新的月度补丁更新中修复了一枚保存于Windows TCP/IP客栈中的Critical级别误差（CVE-2020-16898，代号“Bad Neighbor”）。攻击者通过发送恶意制作的ICMPv6 Router Advertisement数据包，有可能在远程系统上执行恣意代码。
McAfee 体现，MAPP（Microsoft Active Protection）妄想成员共享的看法验证代码既简朴又可靠，可导致蓝屏死机。
微软官方给出的评分为 9.8 ：CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-16898
误差概述
当Windows TCP/IP客栈未准确处置惩罚使用Option类型为 25（递归DNS服务器）且Length字段值为偶数的?ICMPv6 Router Advertisement数据包时，保存误差。
当Length值为偶数时，Windows TCP/IP协议栈过失地将网络缓冲区提前了8个字节。这是由于客栈内部以16字节为增量举行计数，没有思量到使用非RFC兼容长度值的情形。这种不匹配导致客栈将目今option的最后8个字节诠释为第二个option的最先，最终导致缓冲区溢出和潜在的RCE。
参考链接：
https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/
受影响产品版本
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for ARM64-based Systems
Windows 10 Version 1709 for x64-based Systems
Windows 10 Version 1803 for 32-bit Systems
Windows 10 Version 1803 for ARM64-based Systems
Windows 10 Version 1803 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 2004 for 32-bit Systems
Windows 10 Version 2004 for ARM64-based Systems
Windows 10 Version 2004 for x64-based Systems
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)
解决计划
微软官方已针对受影响系统宣布清静补丁，强烈建议相关用户尽快更新。补丁升级，参考链接:
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-16898
另外，还提供了以下缓解步伐：
禁用ICMPv6 RDNSS
使用下面的PowerShell下令可禁用ICMPv6 RDNSS，以避免攻击者使用此误差。此解决要领仅适用于Windows 1709及更高版本。
|
netsh int ipv6 set int *INTERFACENUMBER* rabaseddnsconfig=disable |
备注： 举行更改后，无需重新启动。
如需禁用以上缓解步伐，执行如下下令：
|
netsh int ipv6 set int *INTERFACENUMBER* rabaseddnsconfig=enable |
备注：执行后也无需重新启动。
声 明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任。AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
关于AG公司科技
AG公司（简称AG公司科技）建设于2000年4月，总部位于北京。在海内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究，AG公司科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
AG公司于2014年1月29日起在深圳证券生意所创业板上市，股票简称：AG公司科技，股票代码：300369。
