关于Windows域环境存在远程代码执行风险的通报

北京网络与信息安全信息通报中心通报，近日，安全机构监测发现一个对Windows域环境造成严重威胁的攻击方案，安全研究人员将已经公开的多个Windows特性进行了串联，在一定条件下实现了直接控制域内任何主机的攻击效果。具体情况如下：

        一、漏洞基本情况

        攻击者在已经进入了目标内网环境并控制了任意一台机器后，可以发动此攻击方案来攻击同一广播域内的其他加入了Windows域的机器。攻击发动后，生效时间与被攻击主机的配置有关，可能很快生效，也有可能需要更长时间。

        二、影响范围

        使用Windows2012（及更高版本）做域控制器的Windows域环境

        三、网络安全提示

        针对上述情况，请大家及时做好以下防护措施：

        1.尽快采取有效措施进行安全防范。适用于该病毒的缓解措施包括：一是在所有域控制器上打开强制LDAP签名与LDAPS Channel Binding 功能。二是将域内含有敏感权限的用户加入ProtectedUsers组的介绍。三是将域内含有敏感权限的用户设置为“敏感账户，不能被委派”。

        2.采取更多临时缓解措施。如环境内没有用到WPAD，可通过下发域策略禁用域内主机的WinHttpAutoProxySvc服务；如环境内没有用到IPV6，可通过主机防火墙或在网络层面限制网络中的DHCPv6流量。

        3.开展自查。对自己的信息系统开展自查，对重要的数据、文件进行定期备份。