總機(jī)：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號(hào)信源大廈3206-3211室 郵編：510660
安全公告編號(hào):CNTA-2016-0026
近日，國家信息安全漏洞共享平臺(tái)（CNVD）收錄了Microsoft Windows WPAD權(quán)限提升漏洞（CNVD-2016-04041，對應(yīng)CVE-2016-3213 ，微軟命名為“BadTunnel”漏洞）。由于該漏洞對于Windows 10及其以下版本(含WindowsXP，或可追溯至Windows 95)的操作系統(tǒng)主機(jī)都構(gòu)成直接影響，且攻擊原理可以繞過現(xiàn)有多種防御機(jī)制，包括繞過客戶端防護(hù)軟件或網(wǎng)絡(luò)側(cè)防護(hù)設(shè)備，構(gòu)成十分嚴(yán)重的威脅。
一、漏洞情況分析
Microsoft Windows是美國微軟公司發(fā)布的一系列操作系統(tǒng)。WPAD（Web Proxy Auto-Discovery Protocol）全稱為網(wǎng)絡(luò)代理自發(fā)現(xiàn)協(xié)議，用于讓主機(jī)自動(dòng)發(fā)現(xiàn)代理服務(wù)器，進(jìn)而訪問互聯(lián)網(wǎng)或目標(biāo)網(wǎng)絡(luò)。Microsoft Windows WPAD存在特權(quán)提升漏洞，目前漏洞細(xì)節(jié)暫未公布，預(yù)期將于8月由漏洞發(fā)現(xiàn)者——騰訊玄武實(shí)驗(yàn)室的于旸在拉斯維加斯黑客大會(huì)進(jìn)行發(fā)布。
從漏洞發(fā)現(xiàn)者目前披露的情況看，攻擊者首先需要偽造NetBIOS連接（即攻擊者使用的終端偽裝成ＮetBIOS可識(shí)別的目標(biāo)），與目標(biāo)網(wǎng)絡(luò)或主機(jī)產(chǎn)生通信可能。通過偽裝方式，只要支持建立ＮetBIOS通信，即使目標(biāo)網(wǎng)絡(luò)或主機(jī)處于局域網(wǎng)中，攻擊者也有可能繞過防火墻和NAT設(shè)備，將網(wǎng)絡(luò)流量通過互聯(lián)網(wǎng)全部重定向到攻擊者的計(jì)算機(jī)?？梢灶A(yù)見的攻擊場景有：攻擊者將終端偽裝成網(wǎng)絡(luò)設(shè)備（例如：打印機(jī)服務(wù)器或文件服務(wù)器），即可監(jiān)聽未加密流量，也可以發(fā)起中間人攻擊，如：攔截和篡改Windows更新下載、向用戶網(wǎng)絡(luò)請求返回中植入惡意頁面（URL）。此外，攻擊者還可通過Edge、Internet Explorer、Microsoft Office或Windows上許多第三方軟件利用該漏洞，也有可能通過其他類型網(wǎng)絡(luò)服務(wù)或者通過本地端口驅(qū)動(dòng)組件進(jìn)行利用。
CNVD對該漏洞的綜合評(píng)級(jí)為“高危”。綜合業(yè)內(nèi)各方研判情況，該漏洞影響版本范圍跨度大、利用方式穿透繞過能力強(qiáng)，一旦漏洞細(xì)節(jié)披露，將造成極為廣泛的攻擊威脅，或可誘發(fā)APT攻擊。
二、漏洞影響范圍
微軟官方發(fā)布了升級(jí)補(bǔ)丁修復(fù)該漏洞，CNVD建議用戶盡快升級(jí)程序，用戶需要結(jié)合MS16-063和MS16-077兩個(gè)補(bǔ)丁才能完全修復(fù)。
https://technet.microsoft.com/library/security/MS16-063
https://technet.microsoft.com/library/security/MS16-077
對于微軟已不支持安全更新的版本（如：Windows XP）建議禁用NetBIOS連接，微軟官方已給出操作步驟，或者在防護(hù)設(shè)備上阻斷NetBIOS 137端口的網(wǎng)絡(luò)連接。
https://technet.microsoft.com/en-us/library/cc940063.aspx
附：參考鏈接：
https://technet.microsoft.com/library/security/MS16-063
https://technet.microsoft.com/library/security/MS16-077