SIGRed yaması Windows Server 2008 R2'de başarısız oluyor

Microsoft, Windows Sunucuları 2008 - 2019 için SIGred güvenlik düzeltme ekini yayımladı. DNS rolünün yüklü olduğu tüm bu Windows Sunucuları etkilenir. Yalnızca güvenlikle ilgili bir güncelleştirme ve aylık bir toplama güncelleştirmesi vardır. Hangisini yüklemek istediğiniz size kalmış. Güncelleştirmelerden birini yükledikten ve yeniden başlattıktan sonra, Windows Server 2008 R2'de SIGRed yaması başarısız oluyor. Hata şunu gösteriyor: Windows güncellemeleri yapılandırılırken hata oluştu. Değişiklikler geri alınıyor. Bilgisayarınızı kapatmayın. Neden oluyor ve çözümü nedir?

SIGRed Windows DNS Sunucusunda Uzaktan Kod Yürütme Güvenlik Açığı

CVE-2020-1350 | Windows DNS Sunucusunda Uzaktan Kod Yürütme Güvenlik Açığı, Check Point tarafından keşfedildi. Microsoft, güvenlik açığını "Ortak Güvenlik Açığı Puanlama Sistemi" (CVSS) ölçeğinde mümkün olan en yüksek risk düzeyi olan 10,0 ile derecelendirir.

Kontrol Noktası:

Check Point araştırmacıları kısa süre önce, bir saldırganın herhangi bir Windows ağ ortamının önemli bir bileşeni olan Windows DNS Sunucusunda tam olarak bunu yapmasına olanak tanıyan kritik bir güvenlik açığı keşfetti. Bunu Microsoft'a bildirdik, o da bunu kritik bir güvenlik açığı olarak kabul etti (CVSS puanı 10,0 - mümkün olan en yüksek ciddiyeti gösterir) ve bunun için acil bir yama yayınladı. Bu güvenlik açığından yararlanılmasını önlemek için kullanıcıların 2003'ten 2019'a kadar etkilenen Windows DNS Sunucusu sürümlerine yamayı uygulamalarını kesinlikle öneririz.

Microsoft:

Windows Etki Alanı Adı Sistemi sunucuları istekleri düzgün şekilde işleyemediğinde, uzaktan kod yürütmeye yönelik bir güvenlik açığı bulunmaktadır. Bu güvenlik açığından başarıyla yararlanan bir saldırgan, Yerel Sistem Hesabı bağlamında rasgele kod çalıştırabilir. DNS sunucusu olarak yapılandırılmış Windows sunucuları bu güvenlik açığından etkilenme riski altındadır. Kimliği doğrulanmamış bir saldırgan, bu güvenlik açığından yararlanmak için Windows DNS sunucusuna kötü amaçlı istekler gönderebilir. Güncelleştirme, Windows DNS sunucularının istekleri işleme biçimini değiştirerek bu güvenlik açığını giderir.

SIGRed açıklama zaman çizelgesi

  • 19 Mayıs 2020 - Microsoft'a ilk rapor.

  • 18 Haziran 2020 - Microsoft bu güvenlik açığına karşı CVE-2020-1350 yayınladı.

  • 09 Temmuz 2020 - Microsoft, CVSS puanı 10,0 olan bu sorunun, virüs bulaşabilecek, kritik bir güvenlik açığı olduğunu kabul etti.

  • 14 Temmuz 2020 - Microsoft bir düzeltme yayınladı (Yama Salı).

SIGRed Microsoft yaması Windows Server 2008 R2'ye yüklenemiyor

KB4565524 veya KB4565539'u Server 2008 R2'ye yükleyemezsiniz, başarısız oluyor. İlk başta harika görünüyor çünkü güncelleme yükleniyor. Güncellemeden sonra yeniden başlatmanız gerekir. Sunucu yeniden başlatıldıktan sonra aşağıdaki hatayı gösterecektir: Windows güncellemeleri yapılandırılamadı. Değişiklikler geri alınıyor. Bilgisayarınızı kapatmayın. Windows Server 2008 R2 güncellemeleri yüklemedi, başarısız oldu.

SIGRed yaması neden Windows Server 2008 R2'ye yüklenemedi?

Çözüm KB4565524 ve KB4565539 güncellenemiyor

Extender Güvenlik Güncelleştirmeleri (ESU) lisansına sahip değilsiniz. Satın almazsanız Microsoft'un SIGRed yaması güncelleme sırasında başarısız olur.

Aşağıdaki sayfalara tıklayın ve önkoşullar bölümüne gidin:

14 Temmuz 2020—KB4565524 (Aylık Toplama)
14 Temmuz 2020—KB4565539 (Yalnızca güvenlikle ilgili güncelleme)

class="x-hidden-focus">Bu güncellemeyi yüklemeden önce önkoşullar şunlardır:

En son Toplama sürümünü yüklemeden önce aşağıda listelenen güncellemeleri yüklemeli ve cihazınızı yeniden başlatmalısınız. Bu güncelleştirmelerin yüklenmesi, güncelleştirme işleminin güvenilirliğini artırır ve Toplama yüklenirken ve Microsoft güvenlik düzeltmeleri uygulanırken olası sorunları azaltır.

  1. 12 Mart 2019 hizmet yığını güncelleştirmesi (SSU) (KB4490628). Bu SSU'nun bağımsız paketini edinmek için bunu Microsoft Update Kataloğu'nda arayın. Bu güncelleştirme yalnızca SHA-2 imzalı güncelleştirmeleri yüklemek için gereklidir.

  2. En son SHA-2 güncellemesi (KB4474419) 10 Eylül 2019'da yayınlandı. Windows Update kullanıyorsanız en son SHA-2 güncellemesi size otomatik olarak sunulacaktır. Bu güncelleştirme yalnızca SHA-2 imzalı güncelleştirmeleri yüklemek için gereklidir. SHA-2 güncellemeleri hakkında daha fazla bilgi için Windows ve WSUS için 2019 SHA-2 Kod İmzalama Desteği gereksinimine bakın.

  3. 9 Haziran 2020 SSU (KB4562030) veya üzeri. Bu SSU'nun bağımsız paketini edinmek için bunu Microsoft Update Kataloğu'nda arayın.

  4. Genişletilmiş Güvenlik Güncelleştirmeleri (ESU) Lisans Hazırlama Paketi (KB4538483) 11 Şubat 2020'de yayınlandı. ESU lisans hazırlık paketi size WSUS'tan sunulacak. ESU lisanslama hazırlık paketine yönelik bağımsız paketi edinmek için bunu Microsoft Güncelleme Kataloğu'nda arayın.

Şimdi tüm makinelerinizi Windows Server 2016 veya Windows Server 2019'a güncellemenizi öneriyorum. Bu arada DNS güvenlik açığını yamaya çalışırken bir sonraki adıma göz atın.

DNS güvenlik açığını kayıt defteriyle düzeltme

Bu güvenlik açığına geçici bir çözüm bulmak için, izin verilen en büyük gelen TCP tabanlı DNS yanıt paketinin boyutunu kısıtlayacak şekilde aşağıdaki kayıt defteri değişikliğini yapın.

Grup İlkesi Yönetimi ile Windows Server DNS güvenlik açığını düzeltme

Aşağıdaki kayıt defteri anahtarıyla Grup İlkesi Yönetimi'nde bir GPO oluşturun. GPO'yu, DNS rolünün yüklü olduğu Windows Server 2008 R2'ye bağlayın.

Alt anahtar:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters

Değer: TcpReceivePacketSize

Tür: DWORD

Değer verileri: class="x-hidden-focus">0xFF00

Komut İstemi'ni yönetici olarak çalıştırın ve DNS hizmetlerini yeniden başlatın: net stop DNS && net start DNS

Komut İstemi ile Windows Server DNS güvenlik açığını düzeltme

DNS rolünün yüklü olduğu yalnızca birkaç Windows Server 2008 R2'niz varsa, kayıt defteri anahtarını manuel olarak ekleyebilirsiniz. Hızlandırmak için Komut İstemi'ni kullanın.

Komut İstemi'ni yönetici olarak çalıştırın. Reg-add komutunu kullanın.

C:\>reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters" /v "TcpReceivePacketSize" /t REG_DWORD /d 0xFF00 /f

C:\>net stop DNS && net start DNS

PowerShell ile Windows Server DNS güvenlik açığını düzeltme

PowerShell'i yönetici olarak çalıştırın. Aşağıdaki üç komutu çalıştırın.

PS C:\> $null = New-Item -Path HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters -Force

PS C:\> New-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\DNS\parameters -Name "TcpReceivePacketSize" -PropertyType DWord -Value 0xFF00 -Force


TcpReceivePacketSize : 65280
PSPath               : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\par
                       ameters
PSParentPath         : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS
PSChildName          : parameters
PSDrive              : HKLM
PSProvider           : Microsoft.PowerShell.Core\Registry

PS C:\> Restart-Service DNS

Windows Server 2008 R2 artık CVE-2020-1350 güvenlik açığına karşı korunmaktadır. Hala yeni güvenlik güncellemelerine ve aylık toplama güncellemelerine güncelleme yapamayacağınızı unutmayın.

Devamını oku: Windows Server'da Let's Encrypt sertifikasını kaldırın »

Çözüm

Bu makalede, Windows Server 2008 R2'de SIGRed yamasının neden başarısız olduğunu öğrendiniz. Windows Server 2008 R2'de önkoşulların yüklü olduğundan emin olun. Bu makalede bahsedilen güncellemelerden birini yüklemeden önce bunu yapın. Daha yeni bir Windows Server'a yükseltme yapacaksanız ve ESU satın almayacaksanız, güvenlik açığını düzeltmek için Windows Server 2008 R2'de bir kayıt defteri anahtarı oluşturun.

Windows Servers 2008 R2'yi Windows Server 2016/2019'a yükseltmenizi öneririm. Bundan sonra tüm Windows Server 2008 R2 sistemlerini devre dışı bırakın.

Bu makaleyi beğendiniz mi? Öyleyse PowerShell ile Windows Güvenlik Duvarını Devre Dışı Bırakma makalesini beğenebilirsiniz. Bizi takip etmeyi ve bu yazımızı paylaşmayı unutmayın.

İlgili makaleler