Akamai 对 8 月 Patch Tuesday 的看法

Windows 安全套接字隧道协议 

根据 Microsoft Developer Network 发布的信息，Windows 安全套接字隧道协议 (SSTP) 是一种通过 HTTPS 封装 PPP 流量的机制。从本质上讲，通过该协议，用户能够使用 HTTPS 访问专用网络。 

有六个 CVSS 评分为 8.1 的远程代码执行漏洞得到了修补。另有两个评分同为 8.1 的远程代码执行漏洞得到了修补，我们猜测这两个漏洞与 SstpSvc 服务有关。此外还有一个评分为 5.3 的拒绝服务漏洞得到了修补。 

漏洞在哪里？ 为 SSTP 提供支持的 Windows 服务是 SstpSvc，该服务最终运行 sstpsvc.dll。

常规建议

除了 CVE-2022-34701 之外，所有漏洞都涉及争用条件。由于涉及争用条件的攻击通常需要（在短时间内）多次尝试，因此网络流量可能会增加，故而监控流量峰值速率和峰值或许能发现攻击尝试。

网络文件系统 

网络文件系统 (NFS) 是一种网络协议，最初由 Sun Microsystems 开发，该协议允许通过网络进行远程文件访问。该协议可在 Microsoft Windows 中实施，可以将 NFS 角色添加到服务器以将其转变为 NFS 服务器。

范围分析

NFS 功能需要添加到 Window Server 和客户端后才能使用。该功能包含在 Windows Server 的“File and Storage Services”服务器角色中。 

NFS 通常使用端口 111（Sun RPC 的 EpMapper 端口，NFS 的早期版本通过 Sun RPC 实现）和 2049。通过查看各种数据中心，我们发现只有 0.1% 可能是 NFSv4 服务器，并且只有 大约一半 运行 Windows。

此外，我们还认为，本月的 CVE 是由最新的安全更新之一引入的，因为 Microsoft 的抵御措施（禁用 NFS v4.1）警告称，仅应在完全修补的服务器上执行此操作，这意味着未完全修补的服务器可能是安全的。

常规建议

通常，我们建议您查看是否可以升级您的 NFS 服务器以使用 NFS v4.1，因为该版本是最安全的版本。本 PT 中大多数围绕 NFS 的漏洞针对的都是早期版本的协议。但是，这一次，该漏洞仅影响 NFS v4，因此我们不建议升级。

相反，我们建议围绕 NFS 服务器应用分段。您应当确认能否将 NFS 客户端限制（隔离）到较小的服务器/工作站组，并限制来自 NFS 服务器的出站流量。由于它是服务器，因此应当没有什么理由启动连接。分段或许能限制漏洞利用得逞所造成的影响。

Active Directory 证书服务

Active Directory 域服务 (AD DS) 是 Active Directory 的核心组件之一。运行此角色的服务器是 Windows 域的域控制器。

范围分析

每个 Windows 域网络（域控制器）中至少有一个 Windows Server 运行 AD DS。

实际上，本月的漏洞位于 Active Directory 证书服务 (AD CS) 中，AD CS 默认是不可用的，需要安装额外的角色。我们监控了客户环境中的 Windows Server，并且可以看到，66% 的受监控网络拥有一台具有 AD CS 角色的服务器。

众所周知，AD CS 会被攻击者滥用，最近最臭名昭著的示例是 PetitPotam，它在攻击流中被用作 NTLM 中继的目标（利用了 SpecterOps 开展的一项 出色研究 ）。

常规建议

AD CS 服务应当仅安装到您网络中选定数量的服务器（甚至仅应安装到一台服务器）上，这些服务器在您的域架构中起着至关重要的作用，因此我们强烈建议您尽快修补这些服务器。

如果无法实现，那么五月的修补程序引入了额外的 Windows 事件日志（在其他类似的 CVE 之后），您应该在出现异常活动时对其进行监控。有关详细信息，请参阅 KB5014754 。