Security Bulletin

Microsoft Security Bulletin MS13-058 - 重要

Windows Defender 中的資訊安全風險可能會允許權限提高 (2847927)

發行: 2013年7月10日

版本: 1.0

一般資訊

提要

此資訊安全更新可替適用於 Windows 7 的 Windows Defender 及安裝在 Windows Server 2008 R2 上的 Windows Defender 解決一項未公開報告的資訊安全風險。此資訊安全風險可能因 Windows Defender 使用的路徑名稱而允許權限提高。成功利用此資訊安全風險的攻擊者可執行任意程式碼,並取得受影響之系統的完整控制權。攻擊者接下來將能安裝程式,檢視、變更或刪除資料,或建立具有完整使用者權限的新帳戶。攻擊者必須擁有有效的登入認證,才能利用這項資訊安全風險。匿名使用者無法利用這個資訊安全風險。

對於 Windows 7 和 Windows Server 2008 R2 適用的 Windows Defender,此資訊安全更新的等級為「重要」。如需詳細資訊,請參閱本節中的<受影響及不受影響的軟體>小節。

此資訊安全更新可修正 Windows Defender 使用的路徑名稱,進而解決此資訊安全風險。如需更多有關此資訊安全風險的資訊,請參閱下節<資訊安全風險資訊>下的特定資訊安全風險項目的<常見問題集 (FAQ)>小節。

建議。 大部分客戶都已啟用自動更新,並且不必須採取任何行動,因為資訊安全更新將自動下載和安裝。沒有啟用自動更新的客戶則必須檢查更新,並手動安裝更新。如需有關自動更新中特定設定選項的資訊,請參閱 Microsoft 知識庫文件編號 294871

若是系統管理員和企業安裝,或是想要手動安裝此資訊安全更新的使用者,Microsoft 建議客戶使用更新管理軟體,立即套用更新,或使用 Microsoft Update 服務檢查更新。

另請參閱本公告下文的<偵測與部署工具及指南>一節。

知識庫文件

知識庫文件 2847927
檔案資訊
SHA1/SHA2 雜湊
已知問題

受影響及不受影響的軟體

下列軟體已經過測試判斷哪些版號或版本會受到影響。其他版本超過它們的支援週期或不受影響。若要瞭解您的軟體版本的支援週期,請參閱 Microsoft 產品技術支援週期網站

**受影響的軟體  **

作業系統 元件 最大資訊安全影響 彙總嚴重性等級 已取代更新
適用於 32 位元系統的 Windows 7 Service Pack 1 適用於 Windows 7 (x86) 的 Windows Defender 
(2847927)
權限提高 重要
適用於 x64 型系統的 Windows 7 Service Pack 1 適用於 Windows 7 (x64) 的 Windows Defender 
(2847927)
權限提高 重要
適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 安裝在 Windows Server 2008 R2 (x64) 上的 Windows Defender 
(2847927)
權限提高 重要
**不受影響的軟體** | 反惡意程式碼軟體 | |-------------------------------------------------------------------------| | 適用於 Windows XP 和 Windows Server 2003 的 Windows Defender | | 適用於 Windows Vista 和 Windows Server 2008 的 Windows Defender | | 適用於 Windows 8 的 Windows Defender | | 適用於 Windows RT 的 Windows Defender | | Windows Defender Offline   | | Microsoft Forefront Server Security Management Console | | Microsoft Internet Security and Acceleration (ISA) Server | | Microsoft Antigen for Exchange | | Microsoft Antigen for SMTP Gateway | | Microsoft System Center 2012 Endpoint Protection for Linux | | Microsoft System Center 2012 Endpoint Protection for Mac | | Microsoft Forefront Protection 2010 for Exchange Server | | Microsoft Forefront Security for Exchange Server Service Pack 2 | | Microsoft Forefront Security for Office Communications Server | | Microsoft Forefront Threat Management Gateway 2010 | | Microsoft Forefront Client Security | | Microsoft Forefront Endpoint Protection 2010 | | Microsoft Forefront Security for SharePoint Service Pack 3 | | Microsoft 惡意軟體移除工具 | | Microsoft Security Essentials | | Microsoft Security Essentials 發行前版本 | | Microsoft System Center 2012 Endpoint Protection | | Microsoft System Center 2012 Endpoint Protection Service Pack 1 | | Microsoft System Center 2012 Endpoint Protection for Mac Service Pack 1 | | Windows Intune Endpoint Protection | 更新常見問題集 --------------

什麼是 Windows Defender?
在 Windows 7 中,Windows Defender 是一款免費的反間諜軟體。它能保護使用者的電腦,防範惡意軟體攻擊。Windows 7 中預設已安裝 Windows Defender。

哪裡可以找到 Microsoft 反惡意程式碼技術的詳細資訊?
如需詳細資訊,請造訪 Microsoft Malware Protection Center 網站。

我執行的是 Windows 7,但我停用了 Windows Defender。是否需要安裝此更新程式?
否。如果停用了 Windows Defender,您就不需要安裝此更新程式。但由於 Windows Defender 是 Windows 7 所提供的元件之一,因此 Microsoft 建議客戶盡快套用此更新程式。

Windows Defender 如何在執行 Windows Server 2008 R2 的系統上安裝?
適用於 Windows Server 2008 R2 的桌面體驗功能隨附 Windows Defender。如需更多資訊,請參閱桌面體驗概觀

我所使用的軟體是此資訊安全公告中討論的軟體之舊版。該怎麼辦?
本公告所列出的受影響軟體版本已經過測試判斷哪些版本會受到影響。其他版本超出它們的支援週期。如需瞭解產品生命週期的更多資訊,請參閱 Microsoft 支援週期網站。

使用此軟體舊版的客戶應優先考慮移轉至支援的版本,以避免因潛在的資訊安全風險而遭受攻擊。若要瞭解您的軟體版本的支援週期,請參閱選擇一個產品檢視其支援週期資訊。如需更多關於上述軟體版本的 Service Pack 的資訊,請參閱 Service Pack 週期支援政策

需要舊版軟體額外支援服務的客戶,請連絡 Microsoft 客戶小組人員、技術支援經理或適當的 Microsoft 協力廠商,以取得所需的額外支援。尚未簽訂聯盟、優先或授權合約的客戶,可以連絡當地的 Microsoft 銷售辦公室。如需連絡資訊,請參閱 Microsoft 全球資訊網站,在 [Contact Information] (連絡資訊) 清單中選擇國家,然後按一下 [Go] (前往) 查看各地的連絡電話號碼。連絡時,請指明要連絡當地優先支援服務行銷經理。如需更多資訊,請參閱 Microsoft 技術支援週期準則常見問答集

資訊安全風險資訊

嚴重性等級和資訊安全風險識別碼

下列嚴重性等級是假設資訊安全風險可能造成的最嚴重影響而評定。在本資訊安全公告發行的 30 天內,如需資訊安全風險之易遭利用性與嚴重性等級和資訊安全影響之間對應關係的資訊,請參閱 7 月份公告摘要中的<資訊安全風險入侵指數>。如需更多資訊,請參閱 Microsoft 資訊安全風險入侵指數

依受影響軟體列出的資訊安全風險嚴重性等級和最大資訊安全影響
軟體 Microsoft Windows 7 Defender 不當路徑名稱資訊安全風險 - CVE-2013-3154 彙總嚴重性等級
適用於 Windows 7 (x86) 的 Windows Defender 重要 
權限提高
重要
適用於 Windows 7 (x64) 的 Windows Defender 重要 
權限提高
重要
安裝在 Windows Server 2008 R2 (x64) 上的 Windows Defender 重要 
權限提高
重要
Microsoft Windows 7 Defender 不當路徑名稱資訊安全風險 - CVE-2013-3154 ---------------------------------------------------------------------

這是權限提高的資訊安全風險。成功利用此資訊安全風險的攻擊者可用 LocalSystem 帳戶的安全性層級執行任意程式碼,並取得系統的完整控制權。攻擊者接下來將能安裝程式,檢視、變更或刪除資料,或建立具有完整使用者權限的新帳戶。攻擊者必須擁有有效的登入認證,才能利用這項資訊安全風險。匿名使用者無法利用這個資訊安全風險。

若要以一般性資訊安全風險清單中的標準項目來檢視此資訊安全風險,請參閱 CVE-2013-3154

緩和因素

緩和因素是指存在於預設狀態中的設定、共用設定或一般最佳作法,可能會減少資訊安全風險影響的嚴重性。下列緩和因素可能對您的狀況有所助益:

  • 攻擊者必須擁有有效的登入認證,才能利用這項資訊安全風險。匿名使用者無法利用這個資訊安全風險。
  • 在 Windows 7 的預設設定中,以標準使用者帳戶執行的使用者沒有將檔案寫入系統根目錄的權限。如此可緩和這項資訊安全風險的影響,因為在預設設定中,標準使用者帳戶不會具有利用此資訊安全風險所需的權限。

因應措施

Microsoft 尚未找到此項資訊安全風險的任何因應措施。

常見問題集

此資訊安全風險的範圍為何?
這是權限提高的資訊安全風險。

造成此資訊安全風險的原因為何?
嘗試載入 Windows Defender 服務的受影響版本時,若不當使用路徑名稱,就會導致此資訊安全風險。

攻擊者可能會利用此資訊安全風險採取什麼行動?
成功利用此資訊安全風險的攻擊者可用 LocalSystem 帳戶的安全性層級執行任意程式碼,並取得系統的完整控制權。攻擊者接下來將能安裝程式,檢視、變更或刪除資料,或建立具有完整使用者權限的新帳戶。

攻擊者必須擁有有效的登入認證,才能利用這項資訊安全風險。匿名使用者無法利用這個資訊安全風險。

什麼是 LocalSystem 帳戶?
LocalSystem 帳戶是一個預先定義的本機帳戶,由服務控制管理員使用。它在本機電腦擁有廣泛權限,在網路上代表該電腦進行作業。其權杖包含了 NT AUTHORITY\SYSTEM 以及 BUILTIN\Administrators SID,這些帳戶有權存取大部分的系統物件。一個以 LocalSystem 帳戶權限層級執行的服務,將繼承 服務控制管理員的安全性內容。大部分服務均不需要如此高級的權限。如需詳細資訊,請參閱 MSDN 文章:LocalSystem 帳戶 (英文)。

攻擊者如何利用此資訊安全風險?
如果要利用此資訊安全風險,攻擊者首先必須登入系統。攻擊者接下來可能將蓄意製作的應用程式放在某個可使用的位置,藉此利用此資訊安全風險。

因為此資訊安全風險而承受風險的主要系統有哪些?
Windows 7 工作站是此資訊安全風險的主要影響目標。

更新的作用何在?
此更新可修正 Windows 7 適用之 Windows Defender 使用的路徑名稱,進而解決此資訊安全風險。

當本資訊安全摘要報告發行時,這項資訊安全風險是否已公開揭露?
否。Microsoft 是經由可靠的來源接獲有關這項資訊安全風險的訊息。

當本資訊安全摘要報告發行時,Microsoft 是否已接獲任何消息,指出此資訊安全風險已遭有心人士利用?
否。當本資訊安全摘要報告初次發行時,Microsoft 並未接到任何有關本資訊安全風險已成為公開攻擊媒介的消息,也沒有發現任何以此概念發展的程式碼公開範例。

更新資訊

偵測與部署工具及指南

有幾項資源可協助系統管理員部署資訊安全更新。 

  • Microsoft Baseline Security Analyzer (MBSA) 能讓系統管理員掃描本機和遠端系統,查看是否遺漏資訊安全更新及一般資訊安全設定錯誤的狀況。 
  • Windows Server Update Services (WSUS)、Systems Management Server (SMS) 和 System Center Configuration Manager (SCCM) 可協助系統管理員散佈資訊安全更新。 
  • 應用程式相容性工具組隨附的 Update Compatibility Evaluator 元件可針對所安裝的應用程式簡化其測試和驗證 Windows 更新的過程。 

如需上述工具以及其他可使用工具的詳細資訊,請參閱 IT專業人員的資訊安全工具

資訊安全更新部署

受影響的軟體

如需有關您使用系統的特定資訊安全更新資訊,請按下適當的連結:

適用於 Windows 7 的 Windows Defender

參考表

下表包含此軟體的資訊安全更新資訊。

資訊安全更新檔案名稱 受支援版本之 Windows 7 (x86) 所適用的 Windows Defender:
Windows6.1-KB2847927-x86.msu
受支援版本之 Windows 7 (x64) 所適用的 Windows Defender:
Windows6.1-KB2847927-x64.msu
安裝參數 請參閱 Microsoft 知識庫文件編號 934307
重新開機需求 此更新程式不需要重新開機。安裝程式會停止所需服務,然後套用更新,再重新啟動服務。不過,如果必要的服務無法停止,或是必要的檔案正在使用中,更新程式就會要求重新開機。在此情況下,系統會出現訊息提示您重新開機。
移除資訊 若要解除安裝由 WUSA 所安裝的更新程式,請使用 /Uninstall 安裝參數,或按一下 [控制台] 和 [系統及安全性],然後在 Windows Update 項下,按一下 [檢視安裝的更新] 並從更新清單中選取。
檔案資訊 請參閱 Microsoft 知識庫文件編號 2847927
登錄機碼驗證 注意:登錄機碼不存在,無法驗證此更新是否存在。
#### Windows Server 2008 R2 適用的 Windows Defender **參考表** 下表包含此軟體的資訊安全更新資訊。

資訊安全更新檔案名稱 安裝在 Windows Server 2008 R2 (x64) 受支援版本的 Windows Defender:
Windows6.1-KB2847927-x64.msu
安裝參數 請參閱 Microsoft 知識庫文件編號 934307
重新開機需求 此更新程式不需要重新開機。安裝程式會停止所需服務,然後套用更新,再重新啟動服務。不過,如果必要的服務無法停止,或是必要的檔案正在使用中,更新程式就會要求重新開機。在此情況下,系統會出現訊息提示您重新開機。
移除資訊 若要解除安裝由 WUSA 所安裝的更新程式,請使用 /Uninstall 安裝參數,或按一下 [控制台] 和 [系統及安全性],然後在 Windows Update 項下,按一下 [檢視安裝的更新] 並從更新清單中選取。
檔案資訊 請參閱 Microsoft 知識庫文件編號 2847927
登錄機碼驗證 注意:登錄機碼不存在,無法驗證此更新是否存在。
### 其他資訊 #### 感謝 Microsoft [感謝](https://go.microsoft.com/fwlink/?linkid=21127)下列人士協助我們一同保護我們的客戶: - 感謝 [Reserve Bank of Australia](https://www.rba.gov.au/) 的 Alton Blom 回報 Microsoft Windows 7 Defender 不當路徑名稱資訊安全風險 (CVE-2013-3154) #### Microsoft 主動保護計畫 (MAPP) 為了增強客戶的資訊安全保護,Microsoft 將在每月發行資訊安全更新之前,提前向重要資訊安全軟體提供者提供資訊安全風險資訊。資訊安全軟體提供者可利用此資訊安全風險資訊,透過其資訊安全軟體或裝置 (如防毒軟體、網路入侵偵測系統、或主機入侵預防系統),為客戶提供更新的保護措施。如果要判斷是否有資訊安全軟體提供者的主動保護可用,請造訪由 [Microsoft 主動保護計畫 (MAPP) 合作夥伴](https://go.microsoft.com/fwlink/?linkid=215201) (英文) 上列出的計畫合作夥伴所提供的主動保護計畫網站。 #### 支援 **如何取得此資訊安全更新的說明及支援** - 協助安裝更新: [Microsoft Update 支援](https://support.microsoft.com/ph/6527) - IT 專業人員的資訊安全解決方案: [TechNet 資訊安全疑難排解與支援](https://technet.microsoft.com/security/bb980617.aspx) - 協助保護您的 Windows 電腦免於病毒和惡意軟體攻擊: [病毒解決方案與資訊安全中心](https://support.microsoft.com/contactus/cu_sc_virsec_master) - 您所在國家/地區的當地支援: [國際支援](https://support.microsoft.com/common/international.aspx) #### 免責聲明 Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係以其「現狀」提供,並不提供任何形式之擔保。Microsoft 不做任何明示或默示的責任擔保,包括適售性以及適合某特定用途之擔保責任。無論任何情況下的損害,Microsoft Corporation 及其供應商皆不負任何法律責任,包括直接、間接、偶發、衍生性、所失業務利益或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區不允許排除及限制衍生性或附隨損害賠償責任,因此前述限制不適用於這些地區。 #### 修訂 - V1.0 (2013 年 7 月 10 日): 公告發行。 *Built at 2014-04-18T01:50:00Z-07:00*