Netlogon漏洞处置指南：CVE-2020-1472详解
通告编号:NS-2020-00532020-09-15TAG：Netlogon、CVE-2020-1472、EXP已公开漏洞风险：利用此漏洞，攻击者可获得域控制器的管理员权限。版本：1.01漏洞简介近期，绿盟科技监测到国外安全公司Secura公布了NetLogon特权提升漏洞（CVE-2020-1472）的详细信息及验证脚本，导致漏洞风险急剧增加。攻击者需要在与目标相同的局域网（LAN）上进行利用，未经身份验证的攻击者通过NetLogon远程协议（MS-NRPC）在建立与域控制器的安全通道时，可以利
通告编号:NS-2020-0053
2020-09-15
利用此漏洞，攻击者可获得域控制器的管理员权限。
版本：
1.0
1
漏洞简介
近期，绿盟科技监测到国外安全公司Secura公布了NetLogon特权提升漏洞（CVE-2020-1472）的详细信息及验证脚本，导致漏洞风险急剧增加。攻击者需要在与目标相同的局域网（LAN）上进行利用，未经身份验证的攻击者通过NetLogon远程协议（MS-NRPC）在建立与域控制器的安全通道时，可以利用此漏洞获取域管理员访问权限。此漏洞由微软在8月补丁更新中披露，CVSS评分为10，影响广泛，目前网络上已有EXP公布，建议相关用户立即采取措施进行防护。
Netlogon是Windows中用于为域控制器注册所有SRV资源记录的服务。它提供用户和机器在域内网络上的认证与复制数据库进行域控备份，还用于维护域成员与域之间、域与域控之间、域DC与跨域DC之间的关系。
绿盟科技已迅速复现此漏洞：
参考链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472
SEE MORE →
2影响范围
受影响版本
Windows Server 2008 R2 for x64-based Systems Service Pack 1Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)Windows Server 2012Windows Server 2012 (Server Core installation)Windows Server 2012 R2Windows Server 2012 R2 (Server Core installation)Windows Server 2016Windows Server 2016 (Server Core installation)Windows Server 2019Windows Server 2019 (Server Core installation)Windows Server, version 1903 (Server Core installation)Windows Server, version 1909 (Server Core installation)Windows Server, version 2004 (Server Core installation)3漏洞检测
3.1 工具验证
披露此漏洞的Secura已在GitHub上上传了验证脚本，相关用户可以使用此工具进行检测：
https://github.com/SecuraBV/CVE-2020-1472
受影响系统（Windows Server 2012 R2）的检测结果如下：
3.2 产品检测
绿盟科技的远程安全评估系统（RSAS）、网络入侵检测系统（IDS）及综合威胁探针（UTS）已具备对此漏洞的扫描与检测能力，请已部署以上设备的用户升级至最新版本。
V6.0R02F01.1917
http://update.nsfocus.com/update/downloads/id/108456
IDS
5.6.9.23542
http://update.nsfocus.com/update/downloads/id/108464
5.6.10.23542
http://update.nsfocus.com/update/downloads/id/108465
UTS
5.6.10.23542
http://update.nsfocus.com/update/downloads/id/108469
关于RSAS的升级配置指导，请参考如下链接：
https://mp.weixin.qq.com/s/aLAWXs5DgRhNHf4WHHhQyg
4漏洞防护
4.1 官方升级
目前微软官方已针对受支持的系统版本发布了修复此漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472
注意：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。
右键点击Windows图标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。
针对未成功安装的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载独立程序包并安装。
4.2 其他防护措施
在安装更新补丁后，还可通过部署域控制器 (DC) 强制模式以免受到该漏洞影响：
请参考官方文档进行配置《如何管理与 CVE-2020-1472 相关的 Netlogon 安全通道连接的更改》：
4.3 产品防护
针对此漏洞，绿盟科技网络入侵防护系统(IPS) 已发布规则升级包，请相关用户升级至最新版本规则，以形成安全产品防护能力。安全防护产品规则版本号如下：
5.6.9.23542
http://update.nsfocus.com/update/downloads/id/108464
5.6.10.23542
http://update.nsfocus.com/update/downloads/id/108465
产品规则升级的操作步骤详见如下链接：
IPS：https://mp.weixin.qq.com/s/JsRktENQNj1TdZSU62N0Ww
END
作者：绿盟科技威胁对抗能力部
火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力，依托字节自研豆包多模态大模型，凭借火山方舟一站式平台，提供模型精调、推理部署、智能应用搭建等全链路服务，结合高性能AI算力，助力各行业快速落地大模型数字化与智能化应用。
AirBuddy 3 是面向 macOS 的蓝牙外设增强工具，可集中查看 AirPods、Beats 与苹果设备电量，提供快速连接、播放控制、电量提醒、桌面小组件和多台 Mac 外设接力等功能。
AirServer macOS版可把 Mac 转换为无线投屏接收端，通过 AirPlay 或 Google Cast 接收手机、平板和电脑画面，并支持多设备同时连接、高清镜像及会话录制，适合家庭娱乐、课堂教学、会议演示和应用展示。
火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力，依托字节自研豆包多模态大模型，凭借火山方舟一站式平台，提供模型精调、推理部署、智能应用搭建等全链路服务，结合高性能AI算力，助力各行业快速落地大模型数字化与智能化应用。
PixTV 是一款在浏览器中使用的 AI 视觉内容创作平台，提供图片、视频、音频、文字生成、AI 分镜、局部重绘、提示词反推和无限画布等工具，适合短剧、漫剧、广告及社交媒体内容制作。
Autodesk Maya 是面向影视、电视、动画和游戏行业的专业三维制作软件，集多边形与 NURBS 建模、角色绑定、关键帧和动作捕捉动画、Bifrost 特效模拟、材质开发及 Arnold 渲染于一体，