微软公布Windows DNS服务器重大安全漏洞 CVSS评分高达10分(满分10分)

微软安全团队昨天夜间公布Windows DNS服务器重大安全漏洞，该漏洞在早前已被研究人员提前透露部分信息。

微软在修复漏洞后已经公布更多细节，微软表示该漏洞可被蠕虫病毒感染，即无需任何交互即可感染服务器系统。

在通用漏洞评分系统 (CVSS)中微软对于该漏洞给出的评分是10分，10分为满分因此可以凸显该漏洞极具危害性。

作为对比WannaCry使用的永恒之蓝的评分为8.5分 ，永恒之蓝漏洞已经相当恐怖何况本次10分级别的DNS漏洞。

Windows DNS服务器是微软提供的核心网络组件，借助该组件企业可以安装域名解析系统并部署多种解析策略。

此次出现的高危安全漏洞是微软在处理服务器角色时出现失误，实际上这个漏洞已经存在长达十七年未被人发现。

当攻击者发送经过特制的请求时就会影响域名解析系统并触发漏洞，借助这枚漏洞攻击者可以远程执行任意代码。

因此该漏洞仅影响将Windows Server部署为DNS服务器的系统，如果并未部署DNS服务器的话则不会受到影响。

该漏洞存在于Windows Server服务器系统的所有版本中 , 包括Windows Server 2008、2012、2016、2019等。

这枚漏洞真正的危害在于可蠕虫，即攻击者无需用户进行任何交互例如点击链接或者运行程序即可直接进行感染。

也就是说如果服务器没有修复漏洞的话，实际上攻击者可以通过自动化扫描系统配合蠕虫病毒大规模自动化感染。

因为感染不需要用户交互因此用户也并不清楚自己遭到感染，同时如果内网有多台服务器的话也可进行横向传播。

就目前来说还没有证据表明已经有攻击者利用该漏洞，不过当务之急是所有服务器必须立即安装最新的安全更新。

如果安装安全更新的话则需要重启系统，如果企业业务不能中断不能重启的话也可通过注册表临时阻断攻击路径。

具体可以参考微软安全中心博客：关于Windows DNS域名服务器系统的 CVE-2020-1350 安全漏洞的简要说明。