Microsoft 安全性公告 MS14-068 - 重大
Kerberos 中的弱點可能會允許提高權限 （3011780）
發佈時間： 2014 年 11 月 18 日
版本： 1.0
執行摘要
此安全性更新可解決 Microsoft Windows Kerberos KDC 中私下報告的弱點，可讓攻擊者將無特殊許可權的網域用戶帳戶許可權提升到網域系統管理員帳戶的許可權。 攻擊者可以使用這些提高的許可權來入侵網域中的任何計算機，包括域控制器。 攻擊者必須具備有效的網域認證，才能利用此弱點。 受影響的元件可從遠端提供給具有網域認證的標準使用者帳戶的使用者;這不適用於只有本機帳戶認證的使用者。 發出此安全性布告欄時，Microsoft 知道嘗試利用此弱點的有限目標攻擊。
此安全性更新會針對所有支援的 Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 和 Windows Server 2012 R2 版本評為「重大」。 更新也會針對 所有支援的 Windows Vista、Windows 7、Windows 8 和 Windows 8.1 版本進行深度 防禦。 如需詳細資訊，請參閱 受影響的軟體 一節。
安全性更新會修正 Kerberos 的 Windows 實作中的簽章驗證行為，以解決弱點。 如需弱點的詳細資訊，請參閱 特定弱點的常見問題 （FAQ） 小節。
如需此更新的詳細資訊，請參閱 Microsoft 知識庫文章3011780。
受影響的軟體
下列軟體已經過測試，以判斷受影響的版本。 其他版本或版本要麼超過其支援生命周期，要麼不會受到影響。 若要判斷軟體版本或版本的支援生命週期，請參閱 Microsoft 支援服務 生命週期。
受影響的軟體
| 作業系統 | 最大安全性影響 | 匯總嚴重性評等 | 更新 已取代 |
|---|---|---|---|
| Windows Server 2003 | |||
| Windows Server 2003 Service Pack 2 （3011780） | 提高權限 | 重大 | MS11-013 中的 2478971 |
| Windows Server 2003 x64 Edition Service Pack 2 （3011780） | 提高權限 | 重大 | MS11-013 中的 2478971 |
| Windows Server 2003 SP2 for Itanium 型系統 （3011780） | 提高權限 | 重大 | MS11-013 中的 2478971 |
| Windows Vista | |||
| Windows Vista Service Pack 2 （3011780） | 無 | 沒有嚴重性評等[1] | 無 |
| Windows Vista x64 Edition Service Pack 2 （3011780） | 無 | 沒有嚴重性評等[1] | 無 |
| Windows Server 2008 | |||
| Windows Server 2008 for 32 位系統 Service Pack 2 （3011780） | 提高權限 | 重大 | MS10-014 中的 977290 |
| 適用於 x64 型系統的 Windows Server 2008 Service Pack 2 （3011780） | 提高權限 | 重大 | MS10-014 中的 977290 |
| Windows Server 2008 for Itanium 型系統 Service Pack 2 （3011780） | 提高權限 | 重大 | 無 |
| Windows 7 | |||
| Windows 7 for 32 位系統 Service Pack 1 （3011780） | 無 | 沒有嚴重性評等[1] | SA2871997 中的 2982378 |
| Windows 7 for x64 型系統 Service Pack 1 （3011780） | 無 | 沒有嚴重性評等[1] | SA2871997 中的 2982378 |
| Windows Server 2008 R2 | |||
| 適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 （3011780） | 提高權限 | 重大 | SA2871997 中的 2982378 |
| Windows Server 2008 R2 for Itanium 型系統 Service Pack 1 （3011780） | 提高權限 | 重大 | SA2871997 中的 2982378 |
| Windows 8 和 Windows 8.1 | |||
| Windows 8 for 32 位系統 （3011780） | 無 | 沒有嚴重性評等[1] | 無 |
| 適用於 x64 型系統的 Windows 8 （3011780） | 無 | 沒有嚴重性評等[1] | 無 |
| 適用於 32 位系統的 Windows 8.1 （3011780） | 無 | 沒有嚴重性評等[1] | 無 |
| 適用於 x64 型系統的 Windows 8.1 （3011780） | 無 | 沒有嚴重性評等[1] | 無 |
| Windows Server 2012 和 Windows Server 2012 R2 | |||
| Windows Server 2012 （3011780） | 提高權限 | 重大 | 無 |
| Windows Server 2012 R2 （3011780） | 提高權限 | 重大 | 無 |
| Server Core 安裝選項 | |||
| Windows Server 2008 for 32 位系統 Service Pack 2 （Server Core 安裝） （3011780） | 提高權限 | 重大 | MS10-014 中的 977290 |
| 適用於 x64 型系統的 Windows Server 2008 Service Pack 2 （Server Core 安裝） （3011780） | 提高權限 | 重大 | MS10-014 中的 977290 |
| 適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 （Server Core 安裝） （3011780） | 提高權限 | 重大 | SA2871997 中的 2982378 |
| Windows Server 2012 （Server Core 安裝） （3011780） | 提高權限 | 重大 | 無 |
| Windows Server 2012 R2 （Server Core 安裝） （3011780） | 提高權限 | 重大 | 無 |
注意 此更新適用於 Windows Technical Preview 和 Windows Server Technical Preview。 鼓勵執行這些操作系統的客戶套用可透過 Windows Update 取得的更新。
[1]嚴重性評等不適用於此操作系統，因為此公告中解決的弱點不存在。 此更新提供不會修正任何已知弱點的其他 深度 防禦強化。
嚴重性評等和弱點標識碼
下列嚴重性評等假設弱點的潛在最大影響。 如需有關此安全性布告欄發行 30 天內有關弱點嚴重性評等和安全性影響之惡意探索性的資訊，請參閱 11 月公告摘要中的惡意探索性索引。
| 受影響軟體的弱點嚴重性分級和安全性影響上限 | ||
|---|---|---|
| 受影響的軟體 | Kerberos 總和檢查碼弱點 - CVE-2014-6324 | 匯總嚴重性評等 |
| Windows Server 2003 | ||
| Windows Server 2003 Service Pack 2 （3011780） | 重大 特權提升 | 重大 |
| Windows Server 2003 x64 Edition Service Pack 2 （3011780） | 重大 特權提升 | 重大 |
| Windows Server 2003 SP2 for Itanium 型系統 （3011780） | 重大 特權提升 | 重大 |
| Windows Vista | ||
| Windows Vista Service Pack 2 （3011780） | 沒有嚴重性評等 | 沒有嚴重性評等 |
| Windows Vista x64 Edition Service Pack 2 （3011780） | 沒有嚴重性評等 | 沒有嚴重性評等 |
| Windows Server 2008 | ||
| Windows Server 2008 for 32 位系統 Service Pack 2 （3011780） | 重大 特權提升 | 重大 |
| 適用於 x64 型系統的 Windows Server 2008 Service Pack 2 （3011780） | 重大 特權提升 | 重大 |
| Windows Server 2008 for Itanium 型系統 Service Pack 2 （3011780） | 重大 特權提升 | 重大 |
| Windows 7 | ||
| Windows 7 for 32 位系統 Service Pack 1 （3011780） | 沒有嚴重性評等 | 沒有嚴重性評等 |
| Windows 7 for x64 型系統 Service Pack 1 （3011780） | 沒有嚴重性評等 | 沒有嚴重性評等 |
| Windows Server 2008 R2 | ||
| 適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 （3011780） | 重大 特權提升 | 重大 |
| Windows Server 2008 R2 for Itanium 型系統 Service Pack 1 （3011780） | 重大 特權提升 | 重大 |
| Windows 8 和 Windows 8.1 | ||
| Windows 8 for 32 位系統 （3011780） | 沒有嚴重性評等 | 沒有嚴重性評等 |
| 適用於 x64 型系統的 Windows 8 （3011780） | ||
| 適用於 32 位系統的 Windows 8.1 （3011780） | 沒有嚴重性評等 | 沒有嚴重性評等 |
| 適用於 x64 型系統的 Windows 8.1 （3011780） | 沒有嚴重性評等 | 沒有嚴重性評等 |
| Windows Server 2012 和 Windows Server 2012 R2 | ||
| Windows Server 2012 （3011780） | 重大 特權提升 | 重大 |
| Windows Server 2012 R2 （3011780） | 重大 特權提升 | 重大 |
| Server Core 安裝選項 | ||
| Windows Server 2008 for 32 位系統 Service Pack 2 （Server Core 安裝） （3011780） | 重大 特權提升 | 重大 |
| 適用於 x64 型系統的 Windows Server 2008 Service Pack 2 （Server Core 安裝） （3011780） | 重大 特權提升 | 重大 |
| 適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 （Server Core 安裝） （3011780） | 重大 特權提升 | 重大 |
| Windows Server 2012 （Server Core 安裝） （3011780） | 重大 特權提升 | 重大 |
| Windows Server 2012 R2 （Server Core 安裝） （3011780） | 重大 特權提升 | 重大 |
Kerberos 總和檢查碼弱點 - CVE-2014-6324
Microsoft Windows 中的 Kerberos KDC 實作中存在遠端特權提升弱點。 當 Microsoft Kerberos KDC 實作無法正確驗證簽章時，就存在此弱點，這可讓 Kerberos 服務票證的某些層面偽造。 Microsoft 透過協調的弱點洩漏收到此弱點的相關信息。 發出此安全性布告欄時，Microsoft 知道嘗試利用此弱點的有限目標攻擊。 請注意，已知的攻擊不會影響執行 Windows Server 2012 或 Windows Server 2012 R2 的系統。 更新會修正 Kerberos 的 Windows 實作中的簽章驗證行為，以解決弱點。
緩和因素
下列 緩和因素 可能對您的情況有所説明：
- 攻擊者必須具備有效的網域認證，才能利用此弱點。 受影響的元件可從遠端提供給具有網域認證的標準使用者帳戶的使用者;這不適用於只有本機帳戶認證的使用者。
因應措施
Microsoft 尚未識別此弱點的任何 因應措施 。
常見問題集
攻擊者可能會使用弱點來執行哪些動作？
攻擊者可以使用此弱點，將未特殊許可權的網域用戶帳戶提升為網域系統管理員帳戶。 成功惡意探索此弱點的攻擊者可能會模擬網域上的任何使用者，包括網域系統管理員，以及加入任何群組。 藉由模擬網域系統管理員，攻擊者可以安裝程式;檢視、變更或刪除數據;或在任何已加入網域的系統上建立新帳戶。
攻擊者如何利用弱點？
已驗證的網域使用者可以傳送 Kerberos KDC 偽造的 Kerberos 票證，以宣告使用者是網域系統管理員。 Kerberos KDC 在處理攻擊者的要求時，會不當驗證偽造的票證簽章，讓攻擊者能夠存取網路上具有網域系統管理員身分識別的任何資源。
哪些系統主要面臨弱點的風險？
設定為做為 Kerberos 金鑰發佈中心 （KDC） 的域控制器主要有風險。
安全性更新部署
如需安全性更新部署資訊，請參閱執行摘要中參考的 Microsoft 知識庫文章。
通知
Microsoft 可辨識安全性社群中協助我們透過協調弱點洩漏保護客戶的工作。 如需詳細資訊，請參閱通知。
免責聲明
Microsoft 知識庫中提供的資訊會「如實」提供，而不會提供任何類型的擔保。 Microsoft 不表示明示或隱含的所有擔保，包括適銷性及適合特定用途的擔保。 任何情況下，Microsoft Corporation 或其供應商都不得承擔任何損害責任，包括直接、間接、附帶、衍生性、業務利潤損失或特殊損害，即使 Microsoft Corporation 或其供應商已獲告知可能遭受此類損害。 某些州不允許排除或限制衍生性或附帶性損害的責任，因此可能不適用上述限制。
修訂記錄
- V1.0 （2014 年 11 月 18 日）： 公告發佈。
頁面產生的 2015-01-14 11：40Z-08：00。