首页 > 安全资讯 > 安全软件 > 正文

微软远程代码执行漏洞警报(ADV200006)发布,临时防护措施

火绒安全 火绒安全 2020-04-16 13:51:59

一、漏洞概况

北京时间3月24日,微软紧急发布一则Type 1字体解析远程代码执行漏洞警报(ADV200006)。该漏洞是由于Windows内置的Adobe Type Manager库在解析特制的Adobe Type 1 PostScript格式时处理不当引起,可导致远程代码执行。攻击者可通过多种方式利用此漏洞,例如诱导用户打开或在 Windows 预览窗格中查看有威胁的文档。该漏洞微软评级为 “Critical”(高危),影响Windows7及其之后的所有版本Windows系统(WinXP不受影响),危害较大。

微软官方提供了临时防御方式,并预计会在下个月的补丁日发布该漏洞的修复补丁。

二、影响范围:

三、临时防御措施

1、在Windows资源管理器中禁用【预览窗格】和【详细信息窗格】。

微软提供了多种临时防御措施。我们推荐此操作难度及影响程度都较低的方法。

(1)Windows 7、Windows 8.1、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、Windows Server 2012 R2系统操作方法:

l  打开 Windows 资源管理器,单击【组织】,然后单击【布局】。

l  取消勾选【细节窗格】和【预览窗格】。

l  单击【组织】,然后单击【文件夹和搜索选项】。

l  单击【查看】选项卡。

l  在高级设置下,选中“始终显示图标,从不显示缩略图”框。

l  关闭 Windows 资源管理器的所有打开的实例,以使更改生效。

(2)Windows Server 2016、Windows 10 和 Windows Server 2019系统操作方法:

l  打开 Windows 资源管理器,单击【查看】选项卡。

l  取消选择【详细信息窗格】和【预览窗格】的菜单选项。

l  单击【选项】,然后单击【更改文件夹和搜索选项】。

l  单击【查看】选项卡。

l  在高级设置下,选中“始终显示图标,从不显示缩略图”框。

l  关闭 Windows 资源管理器的所有打开的实例,以使更改生效。

(3)措施产生的影响。

Windows 资源管理器不会自动显示OTF 字体。

2、重命名ATMFD.DLL文件

方法1在企业中执行较繁琐,企业管理员可以通过此下发命令的方式统一处理。

(1)32位操作系统操作方法:

l  在管理员权限的命令行里输入

cd "%windir%\system32"

takeown.exe /f atmfd.dll

icacls.exe atmfd.dll /save atmfd.dll.acl

icacls.exe atmfd.dll /grant Administrators:(F)

rename atmfd.dll x-atmfd.dll

l  重启系统

(2)64位操作系统操作方法:

l  在管理员权限的命令行里输入

cd "%windir%\system32"

takeown.exe /f atmfd.dll

icacls.exe atmfd.dll /save atmfd.dll.acl

icacls.exe atmfd.dll /grant Administrators:(F)

rename atmfd.dll x-atmfd.dll

cd "%windir%\syswow64"

takeown.exe /f atmfd.dll

icacls.exe atmfd.dll /save atmfd.dll.acl

icacls.exe atmfd.dll /grant Administrators:(F)

rename atmfd.dll x-atmfd.dll

l  重启系统

(3)措施产生的影响:

依赖嵌入式字体技术的应用程序将无法正确显示。禁用ATMFD.DLL可能会导致某些使用OpenType字体的应用程序无法正常运行。

注:此措施操作存在风险,不建议一般用户使用。由于Windows 10 1709版本以后不存在ATMFD.DLL文件, 如遭遇上述命令执行失败,具体可参考微软官方警报相关命令。其他临时防御措施也请见微软官方警报。(https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/adv200006)

火绒将会持续关注该漏洞的后续相关内容及补丁信息。

展开更多