关于Windows LNK文件远程代码执行漏洞和Windows搜索远程命令执行漏洞的安全公告

近日，国家信息安全漏洞共享平台（CNVD）收录了Windows LNK文件远程代码执行漏洞（CNVD-2017-09382，对应CVE-2017-8464）和Windows搜索远程命令执行漏洞（CNVD-2017-09381，对应CVE-2017-8543）。综合利用上述漏洞，攻击者成功利用漏洞可以获得与本地用户相同的用户权限或控制受影响的系统。

一、漏洞情况分析

（1）Windows LNK文件远程代码执行漏洞。

lnk文件是用于指向其他文件的一种文件，通常称为快捷方式文件，且以快捷方式存放在硬盘上，以方便使用者快速的调用。Microsoft Windows在处理恶意的快捷方式（.lnk）文件时存在远程代码执行漏洞，攻击者可以通过可移动驱动器（U盘）或远程共享等方式将包含恶意LNK文件和与之相关的恶意二进制文件传播给用户。当用户通过Windows资源管理器或任何能够解析LNK文件的程序打开恶意的LNK文件时，与之关联的恶意二进制代码将在目标系统上执行。成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。

（2）Windows搜索远程命令执行漏洞。

Windows搜索服务（WSS）是windows的一项默认启用的基本服务。允许用户在多个Windows服务和客户端之间进行搜索。Windows搜索处理内存中的对象时，存在远程执行代码漏洞。攻击者向Windows Search服务发送精心构造的SMB消息。从而利用此漏洞提升权限并控制计算机。

CNVD对上述漏洞的综合评级为“高危”。

二、漏洞影响范围

桌面系统：Windows 10, 7, 8, 8.1, Vista, Xp和Windows RT8.1

服务器系统：Windows Server 2016，2012，2008, 2003

三、漏洞修复建议

桌面系统Windows 10,7,8.1和Windows RT 8.1；服务器系统：Windows Server 2016，2012，2008，可以通过Windows Update自动更新微软补丁的方式进行修复。

Windows 8, Vista可以通过选择对应版本然后手动更新补丁的方式进行更新。

（补丁下载地址参考）https://support.microsoft.com/zh-cn/help/4025687/microsoft-security-advisory-4025685-guidance-for-older-platforms

此外，微软在同一天也发布了针对Windows XP和WindowsServer 2003等Windows不继续支持的版本的补丁，目的是为了避免上月发生的WannaCry蠕虫勒索事件的重现。注：Window XP的补丁更新可以在微软下载中心找到，但不会自动通过Windows推送。

临时解决方案：

对于无法及时更新补丁的主机，建议采用如下措施：

1、针对LNK文件远程代码执行漏洞，建议在服务器环境禁用U盘、网络共享及关闭Webclient service（请管理员关注是否有业务与上述服务相关并做好恢复准备）。

2、针对Windows搜索远程命令执行漏洞，建议关闭Windows Search服务。

附：参考链接：

https://threatpost.com/microsoft-patches-two-critical-vulnerabilities-under-attack/126239/

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8464

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8543

http://www.cnvd.org.cn/flaw/show/CNVD-2017-09382 

http://www.cnvd.org.cn/flaw/show/CNVD-2017-09381 

注：CNVD技术组成员单位奇虎360公司提供了部分参考信息。