安全性布告欄
Microsoft 安全性布告欄 MS13-027 - 重要
核心模式驅動程式中的弱點可能會允許提高權限 （2807986）
發佈時間： 2013 年 3 月 12 日 |更新日期：2013 年 7 月 9 日
版本： 1.2
一般資訊
執行摘要
此安全性更新可解決 Microsoft Windows 中三個私下回報的弱點。 如果攻擊者取得系統的存取權，這些弱點可能會允許提高許可權。
此安全性更新已針對所有支援的 Microsoft Windows 版本評為重要。 如需詳細資訊，請參閱本節中的小節<
安全性更新可藉由更正 Windows 內核模式驅動程式處理記憶體中物件的方式來解決弱點。 如需弱點的詳細資訊，請參閱下一節弱點資訊下特定弱點專案的常見問題 （FAQ） 小節。
建議。 大部分的客戶都已啟用自動更新，且不需要採取任何動作，因為會自動下載並安裝此安全性更新。 未啟用自動更新的客戶需要檢查更新，並手動安裝此更新。 如需自動更新中特定組態選項的相關信息，請參閱 Microsoft 知識庫文章294871。
針對系統管理員和企業安裝，或想要手動安裝此安全性更新的終端使用者，Microsoft 建議客戶儘早使用更新管理軟體套用更新，或使用 Microsoft Update 服務檢查更新。
另請參閱本公告稍後的偵測和部署工具和指引一節。
知識庫文章
| 知識庫文章 | 2807986 |
|---|---|
| 檔案資訊 | Yes |
| SHA1/SHA2 哈希 | Yes |
| 已知問題 | Yes |
受影響的和非受影響的軟體
下列軟體已經過測試，以判斷哪些版本或版本受到影響。 其他版本或版本要麼超過其支援生命周期，要麼不會受到影響。 若要判斷軟體版本或版本的支援生命週期，請參閱 Microsoft 支援服務 生命週期。
受影響的軟體
| 作業系統 | 最大安全性影響 | 匯總嚴重性評等 | 更新 已取代 |
|---|---|---|---|
| Windows XP | |||
| Windows XP Service Pack 3 （2807986） | 提高權限 | 重要 | 無 |
| Windows XP Professional x64 Edition Service Pack 2 （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2003 | |||
| Windows Server 2003 Service Pack 2 （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2003 x64 Edition Service Pack 2 （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2003 SP2 for Itanium 型系統 （2807986） | 提高權限 | 重要 | 無 |
| Windows Vista | |||
| Windows Vista Service Pack 2 （2807986） | 提高權限 | 重要 | 無 |
| Windows Vista x64 Edition Service Pack 2 （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2008 | |||
| Windows Server 2008 for 32 位系統 Service Pack 2 （2807986） | 提高權限 | 重要 | 無 |
| 適用於 x64 型系統的 Windows Server 2008 Service Pack 2 （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2008 for Itanium 型系統 Service Pack 2 （2807986） | 提高權限 | 重要 | 無 |
| Windows 7 | |||
| Windows 7 for 32 位系統 （2807986） | 提高權限 | 重要 | 無 |
| Windows 7 for 32 位系統 Service Pack 1 （2807986） | 提高權限 | 重要 | 無 |
| 適用於 x64 型系統的 Windows 7 （2807986） | 提高權限 | 重要 | 無 |
| Windows 7 for x64 型系統 Service Pack 1 （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2008 R2 | |||
| 適用於 x64 型系統的 Windows Server 2008 R2 （2807986） | 提高權限 | 重要 | 無 |
| 適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2008 R2 for Itanium 型系統 （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2008 R2 for Itanium 型系統 Service Pack 1 （2807986） | 提高權限 | 重要 | 無 |
| Windows 8 | |||
| Windows 8 for 32 位系統 （2807986） | 提高權限 | 重要 | 無 |
| Windows 8 for 64 位系統 （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2012 | |||
| Windows Server 2012 （2807986） | 提高權限 | 重要 | 無 |
| Server Core 安裝選項 | |||
| Windows Server 2008 for 32 位系統 Service Pack 2 （Server Core 安裝） （2807986） | 提高權限 | 重要 | 無 |
| 適用於 x64 型系統的 Windows Server 2008 Service Pack 2 （Server Core 安裝） （2807986） | 提高權限 | 重要 | 無 |
| 適用於 x64 型系統的 Windows Server 2008 R2 （Server Core 安裝） （2807986） | 提高權限 | 重要 | 無 |
| 適用於 x64 型系統 Service Pack 1 的 Windows Server 2008 R2 （Server Core 安裝） （2807986） | 提高權限 | 重要 | 無 |
| Windows Server 2012 （Server Core 安裝） （2807986） | 提高權限 | 重要 | 無 |
非受影響的軟體
| 作業系統 |
|---|
| Windows RT |
更新常見問題
為什麼此公告於 2013 年 3 月 27 日修訂？
Microsoft 修訂此公告以更正因應措施：防止使用者連線到系統上已安裝的 USB 裝置，以及停用尚未安裝在系統上的 USB 裝置的 USB 驅動程式。 原始因應措施包含的步驟，可封鎖 USB 儲存設備的連線和安裝。 這些步驟已從因應措施中移除，因為它們是不必要的。
我已套用原始因應措施。 我需要重新套用因應措施嗎？
否。 已套用原始因應措施的客戶不需要重新套用它們，因為原始因應措施會封鎖已知的攻擊媒介。 不過，由於不需要封鎖 USB 儲存設備的連線和安裝，Microsoft 建議復原原始因應措施中的這些步驟。
我套用了原始「防止用戶連線到系統上已安裝的 USB 裝置」因應措施。如何? 復原停用USB儲存設備功能的步驟嗎？
找出在因應措施中建立的備份檔 （“UsbStor_backup.reg ” ）。 在檔案上執行下列命令：
Regedit /s UsbStor_backup.reg
我已套用原始的「停用尚未安裝在系統上的 USB 裝置的 USB 驅動程式」因應措施。 如何? 復原停用USB儲存設備功能的步驟嗎？
以系統管理員身分從命令提示字元執行下列命令：
若為 Windows XP 和 Windows Server 2003：
cacls "%SystemRoot%\Inf\Usbstor.pnf" /E /R everyone
cacls "%SystemRoot%\Inf\Usbstor.inf" /E /R everyone
針對 Windows Vista、Windows Server 2008、Windows 7、Windows Server 2008 R2、Windows 8 和 Windows Server 2012：
icacls "%SystemRoot%\Inf\" /restore %TEMP%\USBSTOR_PNF_ACL.TXT
icacls "%SystemRoot%\Inf\" /restore %TEMP%\USBSTOR_INF_ACL.TXT
我使用此安全性布告欄所討論之軟體的較舊版本。 我該怎麼做？
此布告欄中列出的受影響的軟體已經過測試，以判斷哪些版本受到影響。 其他版本已超過其支援生命週期。 如需產品生命週期的詳細資訊，請參閱 Microsoft 支援服務 生命周期網站。
對於擁有舊版軟體的客戶而言，它應該是優先專案，可遷移至支援的版本，以防止潛在暴露在弱點。 若要判斷軟體版本的支援生命週期，請參閱 選取產品以取得生命周期資訊。 如需這些軟體版本 Service Pack 的詳細資訊，請參閱 Service Pack 生命週期支持原則。
需要舊版軟體自定義支援的客戶必須連絡其 Microsoft 帳戶小組代表、其技術帳戶管理員，或適當的 Microsoft 合作夥伴代表，以取得自定義支持選項。 沒有聯盟、頂級或授權合約的客戶可以連絡其當地 Microsoft 銷售辦公室。 如需連絡資訊，請參閱 Microsoft 全球資訊網站，選取 [連絡資訊 ] 清單中的國家/地區，然後按兩下 [ 移至 ] 以查看電話號碼清單。 當您打電話時，請要求與當地頂級支援銷售經理交談。 如需詳細資訊，請參閱 Microsoft 支援服務 生命周期原則常見問題。
弱點資訊
嚴重性評等和弱點標識碼
下列嚴重性評等假設弱點的潛在最大影響。 如需有關此安全性布告欄發行的 30 天內有關弱點嚴重性評等和安全性影響之惡意探索性的資訊，請參閱 3 月公告摘要中的惡意探索索引。 如需詳細資訊，請參閱 Microsoft 惡意探索索引。
| 受影響的軟體 | Windows USB 描述元弱點 - CVE-2013-1285 | Windows USB 描述元弱點 - CVE-2013-1286 | Windows USB 描述元弱點 - CVE-2013-1287 | 匯總嚴重性評等 |
|---|---|---|---|---|
| Windows XP | ||||
| Windows XP Service Pack 3 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows XP Professional x64 Edition Service Pack 2 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2003 | ||||
| Windows Server 2003 Service Pack 2 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2003 x64 Edition Service Pack 2 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2003 SP2 for Itanium 型系統 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Vista | ||||
| Windows Vista Service Pack 2 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Vista x64 Edition Service Pack 2 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2008 | ||||
| Windows Server 2008 for 32 位系統 Service Pack 2 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| 適用於 x64 型系統的 Windows Server 2008 Service Pack 2 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2008 for Itanium 型系統 Service Pack 2 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows 7 | ||||
| Windows 7 for 32 位系統 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows 7 for 32 位系統 Service Pack 1 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows 7 for x64 型系統 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows 7 for x64 型系統 Service Pack 1 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2008 R2 | ||||
| 適用於 x64 型系統的 Windows Server 2008 R2 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| 適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2008 R2 for Itanium-based Systems | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2008 R2 for Itanium 型系統 Service Pack 1 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows 8 | ||||
| Windows 8 for 32 位系統 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows 8 for 64 位系統 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2012 | ||||
| Windows Server 2012 | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Server Core 安裝選項 | ||||
| Windows Server 2008 for 32 位系統 Service Pack 2 （Server Core 安裝） | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| 適用於 x64 型系統的 Windows Server 2008 Service Pack 2 （Server Core 安裝） | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| 適用於 x64 型系統的 Windows Server 2008 R2 （Server Core 安裝） | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| 適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 （Server Core 安裝） | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
| Windows Server 2012 （Server Core 安裝） | 重要 提高許可權 | 重要 提高許可權 | 重要 提高許可權 | 重要 |
Windows USB 描述元弱點 - CVE-2013-1285
當 Windows USB 驅動程式不當處理記憶體中的物件時，許可權提升弱點就存在。 成功惡意探索此弱點的攻擊者可以在核心模式中執行任意程序代碼。 攻擊者接著可以安裝程式;檢視、變更或刪除數據;或建立具有完整系統管理許可權的新帳戶。
若要將此弱點視為常見弱點和暴露清單中的標準專案，請參閱 CVE-2013-1285。
緩和因素
風險降低是指設定、一般設定或一般最佳做法，存在於默認狀態中，這可能會降低惡意探索弱點的嚴重性。 下列緩和因素可能對您的情況有所説明：
- 在預設組態中，未經驗證的攻擊者只有在具有系統的實體存取權時，才能利用此弱點。
因應措施
因應措施是指未修正基礎弱點的設定或組態變更，但有助於在套用更新之前封鎖已知的攻擊媒介。 Microsoft 已測試下列因應措施，並在討論中指出因應措施是否降低功能：
防止使用者連線到系統上已安裝的USB裝置
使用此因應措施可透過系統上已安裝的 USB 裝置封鎖攻擊向量。 您可以變更登錄，以確保當用戶連線到計算機時，裝置無法運作。
警告 如果您使用註冊表編輯器不正確，可能會造成嚴重問題，而可能需要重新安裝操作系統。 Microsoft 無法保證您可以解決使用註冊表編輯器不正確所造成的問題。 請自行承擔使用登錄編輯程式的風險。
因應措施的影響。 用戶無法在電腦上安裝 USB RNDIS 裝置。
建立登錄機碼的備份。 您可以使用受控部署文稿搭配下列命令來建立備份複本：
Regedit.exe /e Usb_rndis_backup.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndis Regedit.exe /e Usb_rndisx_backup.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndisx Regedit.exe /e Usb_rndis6_backup.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndis6使用下列內容建立名為 Disable_USB_RNDIS.reg的文字檔：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndis] "Start"=dword:00000004 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndisx] "Start"=dword:00000004 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usbrndis6] "Start"=dword:00000004使用下列命令，在目標系統上執行您在步驟 2 中建立的登錄文稿：
Regedit /s Disable_USB_RNDIS.reg
如何復原因應措施。
使用下列命令，還原您在防止用戶連線到已在系統因應措施上安裝的 USB 裝置的步驟 1 中建立的備份檔：
Regedit /s Usb_rndis_backup.reg Regedit /s Usb_rndisx_backup.reg Regedit /s Usb_rndis6_backup.reg針對尚未安裝在系統上的 USB 裝置停用 USB 驅動程式
使用此因應措施可透過尚未安裝在系統上的 USB 裝置封鎖攻擊向量。 以系統管理員身分從命令提示字元執行下列命令：
針對 Windows XP 和 Windows Server 2003：
cacls "%SystemRoot%\Inf\Netrndis.pnf" /E /P everyone:N cacls "%SystemRoot%\Inf\Netrndis.inf" /E /P everyone:N針對 Windows Vista、Windows Server 2008、Windows 7、Windows Server 2008 R2、Windows 8 和 Windows Server 2012：
takeown /f "%SystemRoot%\Inf\Netrndis.pnf" icacls "%SystemRoot%\Inf\Netrndis.pnf" /save %TEMP%\NETRNDIS_PNF_ACL.TXT icacls "%SystemRoot%\Inf\Netrndis.pnf" /deny everyone(F) takeown /f "%SystemRoot%\Inf\Netrndis.inf" icacls "%SystemRoot%\Inf\Netrndis.inf" /save %TEMP%\NETRNDIS_INF_ACL.TXT icacls "%SystemRoot%\Inf\Netrndis.inf" /deny everyone(F)因應措施的影響。 用戶無法在電腦上安裝 USB RNDIS 裝置。
如何複原因應措施：
以系統管理員身分從命令提示字元執行下列命令：
若為 Windows XP 和 Windows Server 2003：
cacls "%SystemRoot%\Inf\Netrndis.pnf" /E /R everyone cacls "%SystemRoot%\Inf\Netrndis.inf" /E /R everyone針對 Windows Vista、Windows Server 2008、Windows 7、Windows Server 2008 R2、Windows 8 和 Windows Server 2012：
icacls "%SystemRoot%\Inf\" /restore %TEMP%\NETRNDIS_PNF_ACL.TXT icacls "%SystemRoot%\Inf\" /restore %TEMP%\NETRNDIS_INF_ACL.TXT
常見問題集
弱點的範圍為何？
這是特權提升弱點。
造成弱點的原因為何？
當 Windows 核心模式驅動程式處理記憶體中的物件不正確時，就會造成此弱點。
什麼是 Windows 核心？
Windows 核心是操作系統的核心。 它提供系統層級的服務，例如裝置管理和記憶體管理、配置處理器時間來處理，以及管理錯誤處理。
攻擊者可能會使用弱點來執行哪些動作？
成功惡意探索此弱點的攻擊者可以在核心模式中執行任意程序代碼。 攻擊者接著可以安裝程式;檢視、變更或刪除數據;或建立具有完整系統管理許可權的新帳戶。
攻擊者如何利用弱點？
攻擊者可能會藉由將惡意 USB 裝置插入系統來利用弱點。
哪些系統主要面臨弱點的風險？
工作站主要有風險。
更新有何用途？
更新會修正 Windows 內核模式驅動程式處理記憶體中物件的方式，以解決弱點。
發佈此安全性布告欄時，是否已公開披露此弱點？
否。 Microsoft 透過協調的弱點洩漏收到此弱點的相關信息。
發佈此安全性布告欄時，Microsoft 是否已收到任何有關此弱點遭到惡意探索的報告？
否。 Microsoft 尚未收到任何資訊，指出此弱點已公開用於攻擊客戶，而此安全性公告最初發佈時。
Windows USB 描述元弱點 - CVE-2013-1286
當 Windows USB 驅動程式不當處理記憶體中的物件時，許可權提升弱點就存在。 成功惡意探索此弱點的攻擊者可以在核心模式中執行任意程序代碼。 攻擊者接著可以安裝程式;檢視、變更或刪除數據;或建立具有完整系統管理許可權的新帳戶。
若要將此弱點視為常見弱點和暴露清單中的標準專案，請參閱 CVE-2013-1286。
緩和因素
風險降低是指設定、一般設定或一般最佳做法，存在於默認狀態中，這可能會降低惡意探索弱點的嚴重性。 下列緩和因素可能對您的情況有所説明：
- 在預設組態中，未經驗證的攻擊者只有在具有系統的實體存取權時，才能利用此弱點。
因應措施
因應措施是指未修正基礎弱點的設定或組態變更，但有助於在套用更新之前封鎖已知的攻擊媒介。 Microsoft 已測試下列因應措施，並在討論中指出因應措施是否降低功能：
防止使用者連線到系統上已安裝的USB裝置
使用此因應措施可透過系統上已安裝的 USB 裝置封鎖攻擊向量。 您可以變更登錄，以確保當用戶連線到計算機時，裝置無法運作。
警告 如果您使用註冊表編輯器不正確，可能會造成嚴重問題，而可能需要重新安裝操作系統。 Microsoft 無法保證您可以解決使用註冊表編輯器不正確所造成的問題。 請自行承擔使用登錄編輯程式的風險。
因應措施的影響。 用戶無法在電腦上安裝 USB RNDIS 裝置。
建立登錄機碼的備份。 您可以使用受控部署文稿搭配下列命令來建立備份複本：
Regedit.exe /e Usb_rndis_backup.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndis Regedit.exe /e Usb_rndisx_backup.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndisx Regedit.exe /e Usb_rndis6_backup.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndis6使用下列內容建立名為 Disable_USB_RNDIS.reg的文字檔：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndis] "Start"=dword:00000004 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndisx] "Start"=dword:00000004 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usbrndis6] "Start"=dword:00000004使用下列命令，在目標系統上執行您在步驟 2 中建立的登錄文稿：
Regedit /s Disable_USB_RNDIS.reg
如何復原因應措施。
使用下列命令，還原您在防止用戶連線到已在系統因應措施上安裝的 USB 裝置的步驟 1 中建立的備份檔：
Regedit /s Usb_rndis_backup.reg Regedit /s Usb_rndisx_backup.reg Regedit /s Usb_rndis6_backup.reg針對尚未安裝在系統上的 USB 裝置停用 USB 驅動程式
使用此因應措施可透過尚未安裝在系統上的 USB 裝置封鎖攻擊向量。 以系統管理員身分從命令提示字元執行下列命令：
針對 Windows XP 和 Windows Server 2003：
cacls "%SystemRoot%\Inf\Netrndis.pnf" /E /P everyone:N cacls "%SystemRoot%\Inf\Netrndis.inf" /E /P everyone:N針對 Windows Vista、Windows Server 2008、Windows 7、Windows Server 2008 R2、Windows 8 和 Windows Server 2012：
takeown /f "%SystemRoot%\Inf\Netrndis.pnf" icacls "%SystemRoot%\Inf\Netrndis.pnf" /save %TEMP%\NETRNDIS_PNF_ACL.TXT icacls "%SystemRoot%\Inf\Netrndis.pnf" /deny everyone(F) takeown /f "%SystemRoot%\Inf\Netrndis.inf" icacls "%SystemRoot%\Inf\Netrndis.inf" /save %TEMP%\NETRNDIS_INF_ACL.TXT icacls "%SystemRoot%\Inf\Netrndis.inf" /deny everyone(F)因應措施的影響。 用戶無法在電腦上安裝 USB RNDIS 裝置。
如何複原因應措施：
以系統管理員身分從命令提示字元執行下列命令：
若為 Windows XP 和 Windows Server 2003：
cacls "%SystemRoot%\Inf\Netrndis.pnf" /E /R everyone cacls "%SystemRoot%\Inf\Netrndis.inf" /E /R everyone針對 Windows Vista、Windows Server 2008、Windows 7、Windows Server 2008 R2、Windows 8 和 Windows Server 2012：
icacls "%SystemRoot%\Inf\" /restore %TEMP%\NETRNDIS_PNF_ACL.TXT icacls "%SystemRoot%\Inf\" /restore %TEMP%\NETRNDIS_INF_ACL.TXT
常見問題集
弱點的範圍為何？
這是特權提升弱點。
造成弱點的原因為何？
當 Windows 核心模式驅動程式處理記憶體中的物件不正確時，就會造成此弱點。
什麼是 Windows 核心？
Windows 核心是操作系統的核心。 它提供系統層級的服務，例如裝置管理和記憶體管理、配置處理器時間來處理，以及管理錯誤處理。
攻擊者可能會使用弱點來執行哪些動作？
成功惡意探索此弱點的攻擊者可以在核心模式中執行任意程序代碼。 攻擊者接著可以安裝程式;檢視、變更或刪除數據;或建立具有完整系統管理許可權的新帳戶。
攻擊者如何利用弱點？
攻擊者可能會藉由將惡意 USB 裝置插入系統來利用弱點。
哪些系統主要面臨弱點的風險？
工作站主要有風險。
更新有何用途？
更新會修正 Windows 內核模式驅動程式處理記憶體中物件的方式，以解決弱點。
發佈此安全性布告欄時，是否已公開披露此弱點？
否。 Microsoft 透過協調的弱點洩漏收到此弱點的相關信息。
發佈此安全性布告欄時，Microsoft 是否已收到任何有關此弱點遭到惡意探索的報告？
否。 Microsoft 尚未收到任何資訊，指出此弱點已公開用於攻擊客戶，而此安全性公告最初發佈時。
Windows USB 描述元弱點 - CVE-2013-1287
當 Windows USB 驅動程式不當處理記憶體中的物件時，許可權提升弱點就存在。 成功惡意探索此弱點的攻擊者可以在核心模式中執行任意程序代碼。 攻擊者接著可以安裝程式;檢視、變更或刪除數據;或建立具有完整系統管理許可權的新帳戶。
若要將此弱點視為常見弱點和暴露清單中的標準專案，請參閱 CVE-2013-1287。
緩和因素
風險降低是指設定、一般設定或一般最佳做法，存在於默認狀態中，這可能會降低惡意探索弱點的嚴重性。 下列緩和因素可能對您的情況有所説明：
- 在預設組態中，未經驗證的攻擊者只有在具有系統的實體存取權時，才能利用此弱點。
因應措施
因應措施是指未修正基礎弱點的設定或組態變更，但有助於在套用更新之前封鎖已知的攻擊媒介。 Microsoft 已測試下列因應措施，並在討論中指出因應措施是否降低功能：
防止使用者連線到系統上已安裝的USB裝置
使用此因應措施可透過系統上已安裝的 USB 裝置封鎖攻擊向量。 您可以變更登錄，以確保當用戶連線到計算機時，裝置無法運作。
警告 如果您使用註冊表編輯器不正確，可能會造成嚴重問題，而可能需要重新安裝操作系統。 Microsoft 無法保證您可以解決使用註冊表編輯器不正確所造成的問題。 請自行承擔使用登錄編輯程式的風險。
因應措施的影響。 用戶無法在電腦上安裝 USB RNDIS 裝置。
建立登錄機碼的備份。 您可以使用受控部署文稿搭配下列命令來建立備份複本：
Regedit.exe /e Usb_rndis_backup.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndis Regedit.exe /e Usb_rndisx_backup.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndisx Regedit.exe /e Usb_rndis6_backup.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndis6`使用下列內容建立名為 Disable_USB_RNDIS.reg的文字檔：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndis]"Start"=dword:00000004 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usb_rndisx]"Start"=dword:00000004[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Usbrndis6]"Start"=dword:00000004`使用下列命令，在目標系統上執行您在步驟 2 中建立的登錄文稿：
Regedit /s Disable_USB_RNDIS.reg
如何復原因應措施。
使用下列命令，還原您在防止用戶連線到已在系統因應措施上安裝的 USB 裝置的步驟 1 中建立的備份檔：
Regedit /s Usb_rndis_backup.reg Regedit /s Usb_rndisx_backup.reg Regedit /s Usb_rndis6_backup.reg針對尚未安裝在系統上的 USB 裝置停用 USB 驅動程式
使用此因應措施可透過尚未安裝在系統上的 USB 裝置封鎖攻擊向量。 以系統管理員身分從命令提示字元執行下列命令：
針對 Windows XP 和 Windows Server 2003：
cacls "%SystemRoot%\Inf\Netrndis.pnf" /E /P everyone:N cacls "%SystemRoot%\Inf\Netrndis.inf" /E /P everyone:N`針對 Windows Vista、Windows Server 2008、Windows 7、Windows Server 2008 R2、Windows 8 和 Windows Server 2012：
takeown /f "%SystemRoot%\Inf\Netrndis.pnf" icacls "%SystemRoot%\Inf\Netrndis.pnf" /save %TEMP%\NETRNDIS_PNF_ACL.TXT icacls "%SystemRoot%\Inf\Netrndis.pnf" /deny everyone(F) takeown /f "%SystemRoot%\Inf\Netrndis.inf" icacls "%SystemRoot%\Inf\Netrndis.inf" /save %TEMP%\NETRNDIS_INF_ACL.TXT icacls "%SystemRoot%\Inf\Netrndis.inf" /deny everyone(F)因應措施的影響。 用戶無法在電腦上安裝 USB RNDIS 裝置。
如何複原因應措施：
以系統管理員身分從命令提示字元執行下列命令：
若為 Windows XP 和 Windows Server 2003：
cacls "%SystemRoot%\Inf\Netrndis.pnf" /E /R everyone cacls "%SystemRoot%\Inf\Netrndis.inf" /E /R everyone針對 Windows Vista、Windows Server 2008、Windows 7、Windows Server 2008 R2、Windows 8 和 Windows Server 2012：
icacls "%SystemRoot%\Inf\" /restore %TEMP%\NETRNDIS_PNF_ACL.TXT icacls "%SystemRoot%\Inf\" /restore %TEMP%\NETRNDIS_INF_ACL.TXT`
常見問題集
弱點的範圍為何？
這是特權提升弱點。
造成弱點的原因為何？
當 Windows 核心模式驅動程式處理記憶體中的物件不正確時，就會造成此弱點。
什麼是 Windows 核心？ Windows 核心是操作系統的核心。 它提供系統層級的服務，例如裝置管理和記憶體管理、配置處理器時間來處理，以及管理錯誤處理。
攻擊者可能會使用弱點來執行哪些動作？
成功惡意探索此弱點的攻擊者可以在核心模式中執行任意程序代碼。 攻擊者接著可以安裝程式;檢視、變更或刪除數據;或建立具有完整系統管理許可權的新帳戶。
攻擊者如何利用弱點？
攻擊者可能會藉由將惡意 USB 裝置插入系統來利用弱點。
哪些系統主要面臨弱點的風險？
工作站主要有風險。
更新有何用途？
更新會修正 Windows 內核模式驅動程式處理記憶體中物件的方式，以解決弱點。
發佈此安全性布告欄時，是否已公開披露此弱點？
否。 Microsoft 透過協調的弱點洩漏收到此弱點的相關信息。
發佈此安全性布告欄時，Microsoft 是否已收到任何有關此弱點遭到惡意探索的報告？
否。 Microsoft 尚未收到任何資訊，指出此弱點已公開用於攻擊客戶，而此安全性公告最初發佈時。
更新資訊
偵測和部署工具和指引
有數個資源可用來協助系統管理員部署安全性更新。
- Microsoft Baseline Security Analyzer （MBSA） 可讓系統管理員掃描本機和遠端系統是否有遺漏的安全性更新和常見的安全性設定錯誤。
- Windows Server Update Services （WSUS）、系統管理伺服器 （SMS） 和 System Center Configuration Manager （SCCM） 可協助系統管理員散發安全性更新。
- 應用程式相容性工具組隨附的更新相容性評估工具元件有助於簡化針對已安裝應用程式的 Windows 更新測試和驗證。
如需這些和其他可用工具的資訊，請參閱 IT 專業人員的安全性工具。
安全性更新部署
受影響的軟體
如需受影響軟體之特定安全性更新的相關信息，請按兩下適當的連結：
Windows XP （所有版本）
參考數據表
下表包含此軟體的安全性更新資訊。
| 安全性更新檔名 | 針對 Windows XP Service Pack 3：\ WindowsXP-KB2807986-x86-ENU.exe |
|---|---|
| 針對 Windows XP Professional x64 Edition Service Pack 2：\ WindowsServer2003.WindowsXP-KB2807986-x64-enu.exe | |
| 安裝參數 | 請參閱 Microsoft 知識庫文章262841 |
| 更新記錄檔 | KB2807986.log |
| 重新啟動需求 | 是，套用此安全性更新之後，您必須重新啟動系統。 |
| 拿掉資訊 | 在 控制台 中使用 [新增或移除程式] 專案，或位於 %Windir%$NTUninstallKB 2807986$\Spuninst 資料夾中的 Spuninst.exe 公用程序專案 |
| 檔案資訊 | 請參閱 Microsoft 知識庫文章2807986 |
| 登錄機碼驗證 | 針對所有支援的 32 位版本的 Windows XP：\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\更新\Windows XP\SP4\KB2807986\Filelist |
| 針對所有支援的 x64 型 Windows XP：\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\更新\Windows XP 版本 2003\SP3\KB2807986\Filelist |
注意 Windows XP Professional x64 Edition 支援版本的更新也適用於支援的 Windows Server 2003 x64 版本。
Windows Server 2003 （所有版本）
參考數據表
下表包含此軟體的安全性更新資訊。
| 安全性更新檔名 | 針對所有支援的 32 位版本 Windows Server 2003：\ WindowsServer2003-KB2807986-x86-enu.exe |
|---|---|
| 針對所有支援的 x64 型 Windows Server 2003 版本：\ WindowsServer2003.WindowsXP-KB2807986-x64-enu.exe | |
| 針對所有支援的 Itanium 型 Windows Server 版本2003:WindowsServer2003-KB2807986-ia64-enu.exe | |
| 安裝參數 | 請參閱 Microsoft 知識庫文章262841 |
| 更新記錄檔 | KB2807986.log |
| 重新啟動需求 | 是，套用此安全性更新之後，您必須重新啟動系統。 |
| 拿掉資訊 | 在 控制台 中使用 [新增或移除程式] 專案，或位於 %Windir%$NTUninstallKB 2807986$\Spuninst 資料夾中的 Spuninst.exe 公用程序專案 |
| 檔案資訊 | 請參閱 Microsoft 知識庫文章2807986 |
| 登錄機碼驗證 | 針對所有支援的 32 位版本的 Windows Server 2003：\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\更新\Windows Server 2003\SP3\KB2807986\Filelist |
| 針對 Windows Server 2003：\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\更新\Windows Server 2003\SP3\KB2807986\Filelist 的所有支援的 x64 版本 |
注意 Windows Server 2003 x64 Edition 支援版本的更新也適用於支援的 Windows XP Professional x64 版本。
Windows Vista （所有版本）
參考數據表
下表包含此軟體的安全性更新資訊。
| 安全性更新檔名 | 針對所有支援的 32 位版本的 Windows Vista：\ Windows6.0-KB2807986-x86.msu |
|---|---|
| 針對所有支援的 x64 型 Windows Vista 版本：\ Windows6.0-KB2807986-x64.msu | |
| 安裝參數 | 請參閱 Microsoft 知識庫文章934307 |
| 重新啟動需求 | 是，套用此安全性更新之後，您必須重新啟動系統。 |
| 拿掉資訊 | WUSA.exe不支援卸載更新。 若要卸載 WUSA 安裝的更新，請按兩下 [控制台]，然後按兩下 [安全性]。 在 [Windows Update] 底下，按兩下 [ 檢視已安裝的更新 ]，然後從更新清單中選取 。 |
| 檔案資訊 | 請參閱 Microsoft 知識庫文章2807986 |
| 登錄機碼驗證 | 注意 登錄機碼不存在，無法驗證此更新是否存在。 |
Windows Server 2008 (所有版本)
參考數據表
下表包含此軟體的安全性更新資訊。
| 安全性更新檔名 | 針對所有支援的 32 位版本 Windows Server 2008：\ Windows6.0-KB2807986-x86.msu |
|---|---|
| 針對所有支援的 x64 型 Windows Server 2008 版本：\ Windows6.0-KB2807986-x64.msu | |
| 針對 Windows Server 2008：\ Windows6.0-KB2807986-ia64.msu 的所有支援的 Itanium 版本 | |
| 安裝參數 | 請參閱 Microsoft 知識庫文章934307 |
| 重新啟動需求 | 是，套用此安全性更新之後，您必須重新啟動系統。 |
| 拿掉資訊 | WUSA.exe不支援卸載更新。 若要卸載 WUSA 安裝的更新，請按兩下 [控制台]，然後按兩下 [安全性]。 在 [Windows Update] 底下，按兩下 [ 檢視已安裝的更新 ]，然後從更新清單中選取 。 |
| 檔案資訊 | 請參閱 Microsoft 知識庫文章2807986 |
| 登錄機碼驗證 | 注意 登錄機碼不存在，無法驗證此更新是否存在。 |
Windows 7 （所有版本）
參考數據表
下表包含此軟體的安全性更新資訊。
| 安全性更新檔名 | 針對所有支援的 32 位版本的 Windows 7：\ Windows6.1-KB2807986-x86.msu |
|---|---|
| 針對所有支援的 x64 型 Windows 7：\ Windows6.1-KB2807986-x64.msu 版本 | |
| 安裝參數 | 請參閱 Microsoft 知識庫文章934307 |
| 重新啟動需求 | 是，套用此安全性更新之後，您必須重新啟動系統。 |
| 拿掉資訊 | 若要卸載 WUSA 安裝的更新，請使用 /Uninstall 安裝程式參數，或按兩下 [控制台]，按兩下 [系統與安全性]，然後在 [Windows Update] 底下，單擊 [檢視已安裝的更新]，然後從更新清單中選取 。 |
| 檔案 | 請參閱 Microsoft 知識庫文章2807986 |
| 登錄 | 注意 登錄機碼不存在，無法驗證此更新是否存在。 |
Windows Server 2008 R2 (所有版本)
參考數據表
下表包含此軟體的安全性更新資訊。
| 安全性更新檔名 | 針對所有支援的 x64 型 Windows Server 2008 R2：\ Windows6.1-KB2807986-x64.msu 版本 |
|---|---|
| 針對 Windows Server 2008 R2：\ Windows6.1-KB2807986-ia64.msu 的所有支援的 Itanium 版本 | |
| 安裝參數 | 請參閱 Microsoft 知識庫文章934307 |
| 重新啟動需求 | 是，套用此安全性更新之後，您必須重新啟動系統。 |
| 拿掉資訊 | 若要卸載 WUSA 安裝的更新，請使用 /Uninstall 安裝程式參數，或按兩下 [控制台]，按兩下 [系統與安全性]，然後在 [Windows Update] 底下，單擊 [檢視已安裝的更新]，然後從更新清單中選取 。 |
| 檔案資訊 | 請參閱 Microsoft 知識庫文章2807986 |
| 登錄 | 注意 登錄機碼不存在，無法驗證此更新是否存在。 |
Windows 8 （所有版本）
參考數據表
下表包含此軟體的安全性更新資訊。
| 安全性更新檔名 | 針對所有支援的 32 位版本的 Windows 8：\ Windows8-RT-KB2807986-x86.msu |
|---|---|
| 針對所有支援的 64 位 Windows 8：\ Windows8-RT-KB2807986-x64.msu 版本 | |
| 安裝參數 | 請參閱 Microsoft 知識庫文章934307 |
| 重新啟動需求 | 是，套用此安全性更新之後，您必須重新啟動系統。 |
| 拿掉資訊 | 若要卸載 WUSA 安裝的更新，請使用 /Uninstall 安裝程式參數，或按兩下 [控制台]，按兩下 [系統與安全性]，按兩下 [Windows Update]，然後按兩下 [已安裝的更新]，然後從更新清單中選取 。 |
| 檔案資訊 | 請參閱 Microsoft 知識庫文章2807986 |
| 登錄機碼驗證 | 注意 登錄機碼不存在，無法驗證此更新是否存在。 |
Windows Server 2012 (所有版本)
參考數據表
下表包含此軟體的安全性更新資訊。
| 安全性更新檔名 | 針對所有支援的 Windows Server 2012：\ Windows8-RT-KB2807986-x64.msu 版本 |
|---|---|
| 安裝參數 | 請參閱 Microsoft 知識庫文章934307 |
| 重新啟動需求 | 是，套用此安全性更新之後，您必須重新啟動系統。 |
| 拿掉資訊 | 若要卸載 WUSA 安裝的更新，請使用 /Uninstall 安裝程式參數，或按兩下 [控制台]，按兩下 [系統與安全性]，按兩下 [Windows Update]，然後按兩下 [已安裝的更新]，然後從更新清單中選取 。 |
| 檔案資訊 | 請參閱 Microsoft 知識庫文章2807986 |
| 登錄機碼驗證 | 注意 登錄機碼不存在，無法驗證此更新是否存在。 |
其他資訊
通知
Microsoft 感謝您 與我們合作，協助保護客戶：
- NCC 群組的 Andy Davis 報告 Windows USB 描述元弱點 （CVE-2013-1285）
- NCC 群組的 Andy Davis 報告 Windows USB 描述元弱點 （CVE-2013-1286）
- NCC Group 的 Andy Davis 報告 Windows USB 描述元弱點 （CVE-2013-1287）
Microsoft Active Protections 計劃 （MAPP）
為了改善客戶的安全性保護，Microsoft 會在每個每月安全性更新版本之前，為主要安全性軟體提供者提供弱點資訊。 然後，安全性軟體提供者可以使用此弱點資訊，透過其安全性軟體或裝置，例如防病毒軟體、網路型入侵檢測系統或主機型入侵預防系統，為客戶提供更新的保護。 若要判斷是否可從安全性軟體提供者取得主動保護，請移至 Microsoft Active Protections 方案 （MAPP） 合作夥伴中所列之計劃合作夥伴所提供的使用中保護網站。
支援
如何取得此安全性更新的說明和支援
- 協助安裝更新： Microsoft Update 的支援
- IT 專業人員的安全性解決方案： TechNet 安全性疑難解答和支援
- 協助保護執行 Windows 的電腦免於病毒和惡意代碼： 病毒解決方案和安全性中心
- 根據您的國家/地區提供當地支持： 國際支援
免責聲明
Microsoft 知識庫中提供的資訊會「如實」提供，而不會提供任何類型的擔保。 Microsoft 不表示明示或隱含的所有擔保，包括適銷性及適合特定用途的擔保。 任何情況下，Microsoft Corporation 或其供應商都不得承擔任何損害責任，包括直接、間接、附帶、衍生性、業務利潤損失或特殊損害，即使 Microsoft Corporation 或其供應商已獲告知可能遭受此類損害。 某些州不允許排除或限制衍生性或附帶性損害的責任，因此可能不適用上述限制。
修訂記錄
- V1.0 （2013 年 3 月 12 日）： 公告發佈。
- V1.1 （2013 年 3 月 27 日）：已修訂公告，以移除停用 USB 大量儲存裝置的因應措施步驟，因為這些步驟不需要封鎖已知的攻擊媒介。 如需詳細資訊，請參閱更新常見問題。
- V1.2 （2013 年 7 月 9 日）：已修訂公告 Windows Vista 套件中的偵測變更，以進行2807986更新，以更正 Windows Update 的修正問題。 這隻是偵測變更。 已成功更新其系統的客戶不需要採取任何動作。
建置於 2014-04-18T13：49：36Z-07：00