MS08-049 is an update for the Windo

MS08-049 is an update for the Windows Event System service to correct an authenticated elevation-of-privilege vulnerability. We received a question via email yesterday about the type of authentication needed to exploit CVE-2008-1456. Our security bulletin was a little ambiguous with one reference to “logon credentials” and another to “domain credentials”. The email question was from an IT security manager who wondered whether his hardened servers could be compromised remotely. He had disallowed local logon rights to regular users.


The Event System service runs in a shared svchost.exe process with the default svchost COM access permissions. That service ACL grants local or remote access to all Authenticated Users. The Authenticated Users group includes all domain users and all local workstation accounts on the targeted machine. However, the guest account, even if enabled, is not authenticated so COM will block the call, whether made locally or remote. The MSRC has updated the bulletin to be more precise.


We hope this clarifies the risk of this vulnerability. It is only rated “Important” due to its effect of authenticated elevation-of-privilege. However, an authenticated attacker can remotely compromise any unpatched Windows machine in your network that is domain joined, including your domain controller or Exchange server. It’s one of those “Importants” that is very important to address, so we highly recommend that you apply this update.


– SVRD Bloggers


*Postings are provided “AS IS” with no warranties, and confers no rights.*

ผลลัพธ์ (ไทย) 1:

MS08-049 คือ การปรับปรุงสำหรับบริการระบบเหตุการณ์ Windows เพื่อแก้ไขช่องโหว่ที่มีการยกระดับของสิทธิ์รับรองความถูกต้อง เราได้รับคำถามทางอีเมล์วันนี้เกี่ยวกับชนิดของการรับรองความถูกต้องที่จำเป็นในการใช้ประโยชน์จาก CVE-2008-1456 บูเลทีนการรักษาความปลอดภัยของเราได้ชัดเจนนิดหนึ่งอ้างอิงถึง "ข้อมูลประจำตัวการเข้าสู่ระบบ" และ "ข้อมูลประจำตัวโดเมน" อีก คำถามอีเมล์ได้จากการจัดการความปลอดภัยของ IT ที่สงสัยว่า อาจจะทำลายเขาแข็งเซิร์ฟเวอร์จากระยะไกล เขาก็ไม่อนุญาตให้สิทธิ์การเข้าสู่ระบบภายในเครื่องผู้ใช้ปกติการบริการระบบเหตุการณ์ทำงานในกระบวนการ svchost.exe ใช้ร่วมกับสิทธิ์การเข้าถึงเริ่มต้น svchost COM ACL ที่บริการมอบให้แก่ท้องถิ่น หรือระยะไกลการเข้าถึงผู้ใช้ทั้งหมดรับรองความถูกต้อง กลุ่มผู้ใช้การรับรองความถูกต้องรวมถึงผู้ใช้โดเมนทั้งหมดและบัญชีภายในเครื่องเวิร์กสเตชันทั้งหมดบนเครื่องเป้าหมาย อย่างไรก็ตาม การ แม้เปิดใช้งาน จะไม่รับรองเพื่อ COM จะบล็อกการเรียก ไม่ว่าจะทำภายใน หรือระยะไกล MSRC อัพเดตแล้วนการจะแม่นยำมากขึ้นเราหวังว่า นี้ชี้แจงความเสี่ยงของช่องโหว่นี้ เพียงจัดให้ "สำคัญ" เนื่องจากผลกระทบของรับรองความถูกต้องยกระดับของสิทธิ์ อย่างไรก็ตาม โจมตี authenticated สามารถจากระยะไกล compromise ใด ๆ เครื่อง Windows อย่างยิ่งในเครือข่ายที่ร่วม โดเมนรวมถึงตัวควบคุมโดเมนหรือเซิร์ฟเวอร์ Exchange ของคุณ มันเป็น "Importants" เหล่านั้นอย่างใดอย่างหนึ่งที่เป็นสิ่งสำคัญที่อยู่ ดังนั้นเราขอแนะนำให้ คุณใช้โปรแกรมปรับปรุงนี้– บล็อกเกอร์ SVRD* บัญชีจะได้รับเป็น"ไม่มีการรับประกัน และ rights.* ไม่มีคำตอบ

ผลลัพธ์ (ไทย) 2:

MS08-049 คือการปรับปรุงสำหรับบริการ Windows ระบบเหตุการณ์ที่จะแก้ไขช่องโหว่ระดับความสูงของสิทธิ์รับรองความถูกต้อง เราได้รับคำถามผ่านทางอีเมล์เมื่อวานนี้เกี่ยวกับประเภทของการตรวจสอบที่จำเป็นในการใช้ประโยชน์จาก CVE-2008-1456 กระดานข่าวความปลอดภัยของเราคือคลุมเครือเล็ก ๆ น้อย ๆ ที่มีการอ้างอิงที่หนึ่งไปยัง "เข้าสู่ระบบข้อมูลประจำตัว" และอื่น ๆ เพื่อ "โดเมนข้อมูลประจำตัว" คำถามที่อีเมลมาจากผู้จัดการการรักษาความปลอดภัยด้านไอทีที่สงสัยว่าเซิร์ฟเวอร์แข็งของเขาอาจจะถูกบุกรุกจากระยะไกล เขาได้เข้าสู่ระบบไม่อนุญาตให้ใช้สิทธิในท้องถิ่นเพื่อให้ผู้ใช้ปกติ.


บริการระบบเหตุการณ์ทำงานในกระบวนการ Svchost.exe ร่วมกับสิทธิ์การเข้าถึงเริ่มต้น Svchost ของ COM ว่าการให้บริการการเข้าถึง ACL ทุนท้องถิ่นหรือระยะไกลไปยังผู้มีสิทธิทั้งหมด กลุ่มผู้ใช้สิทธิ์รวมถึงผู้ใช้โดเมนและทุกบัญชีเวิร์กสเตชันเฉพาะในเครื่องเป้าหมาย อย่างไรก็ตามบัญชีของผู้เข้าพักแม้หากเปิดใช้งานไม่ได้รับรองความถูกต้องเพื่อให้ COM จะป้องกันการเรียกร้องไม่ว่าจะทำในประเทศหรือระยะไกล MSRC ได้อัปเดตข่าวจะแม่นยำมากขึ้น.


เราหวังว่านี้ชี้แจงความเสี่ยงจากช่องโหว่นี้ มันอยู่ในอันดับเท่านั้น "สำคัญ" เนื่องจากผลของการรับรองความถูกต้องยกระดับของสิทธิพิเศษ อย่างไรก็ตามผู้โจมตีจากระยะไกลรับรองความถูกต้องสามารถประนีประนอมเครื่อง Windows ใด ๆ ที่ยังไม่ได้แก้ไขในเครือข่ายของคุณที่เข้าร่วมโดเมนรวมทั้งควบคุมโดเมนของคุณหรือเซิร์ฟเวอร์ Exchange มันเป็นหนึ่งในบรรดา "Importants" นั่นเป็นสิ่งสำคัญมากที่จะอยู่ดังนั้นเราขอแนะนำให้คุณใช้การปรับปรุงนี้.


- SVRD บล็อก


* โพสต์ที่มีให้ "ตามสภาพ" โดยไม่มีการรับประกันและฟาโรห์ไม่มีสิทธิ *.

ผลลัพธ์ (ไทย) 3:

ms08-049 คือการปรับปรุงสำหรับ Windows เหตุการณ์ระบบบริการแก้ไขความถูกต้องและช่องโหว่นี้ เราได้รับคำถามผ่านทางอีเมล์เมื่อวานนี้เกี่ยวกับชนิดของการตรวจสอบที่จำเป็นเพื่อใช้ประโยชน์จาก cve-2008-1456 . ข่าวรักษาความปลอดภัยของเราคลุมเครือนิดหน่อยด้วยการอ้างอิงถึง " ระบบข้อมูล " และ " โดเมนอีกตัว " อีเมล์คำถามจากฝ่ายผู้จัดการ ที่สงสัยว่าของเขาแข็งเซิร์ฟเวอร์อาจถูกละเมิดจากระยะไกล เขามีสิทธิที่จะไม่อนุญาตให้ท้องถิ่นเข้าสู่ระบบผู้ใช้ปกติงานบริการระบบการทํางานร่วมกันกับ svchost.exe กระบวนการเริ่มต้น svchost com เข้าถึงสิทธิ์ ที่ ACL บริการทุนท้องถิ่นหรือการเข้าถึงระยะไกลทั้งหมดชื่อผู้ใช้ ที่ชื่อผู้ใช้โดเมนและบัญชีผู้ใช้กลุ่มที่มีเป้าหมายเวิร์กสเตชันท้องถิ่นทั้งหมดในเครื่อง อย่างไรก็ตาม แขก ถ้าใช้งานไม่ได้รับรอง ดังนั้นจึงจะบล็อกการเรียก ไม่ว่าทำในท้องถิ่นหรือระยะไกล การ msrc ได้ปรับปรุงประกาศจะแม่นกว่าเราหวังว่านี้ชี้แจงความเสี่ยงของความเสี่ยงนี้ มันเป็นเพียงการจัดอันดับ " สำคัญ " เนื่องจากผลของการตรวจสอบสิทธิ์ อย่างไรก็ตาม การโจมตีจากระยะไกลสามารถประนีประนอมใด ๆรับรอง unpatched เครื่อง Windows ในเครือข่ายของคุณเป็นโดเมนเข้าร่วม รวมถึงตัวควบคุมโดเมนหรือ Exchange Server ของคุณ มันเป็นหนึ่งในบรรดา " importants " ที่สำคัญมากอยู่ ดังนั้นเราขอแนะนำให้คุณใช้การปรับปรุงนี้- svrd เขียนบล็อก* ประกาศให้ " เป็น " โดยไม่มีการรับประกัน และ เกี่ยวข้อง ไม่มีสิทธิ * .