2 月 17 日消息，微軟在 2021 年 6 月詳細(xì)披露了存在于分布式組件對象模型（DCOM）的安全功能繞過（CVE-2021-26414）漏洞。微軟今天發(fā)布提醒，表示將于下月在 Win10、Win11 和 Windows Server 上默認(rèn)啟用 DCOM 增強(qiáng)。

根據(jù)微軟官方定制的時(shí)間表，將于 2023 年 3 月 14 日默認(rèn)啟用 DCOM 強(qiáng)化更改，用戶無法禁用。

微軟官方介紹：

分布式組件對象模型 (DCOM) 遠(yuǎn)程協(xié)議是一種協(xié)議，用于使用 遠(yuǎn)程過程調(diào)用 (RPC) 公開應(yīng)用程序?qū)ο蟆COM 用于網(wǎng)絡(luò)設(shè)備的軟件組件之間的通信。CVE-2021-26414 需要 DCOM 中的強(qiáng)化更改。因此，建議驗(yàn)證環(huán)境中使用 DCOM 或 RPC 的客戶端或服務(wù)器應(yīng)用程序是否按預(yù)期工作，同時(shí)啟用強(qiáng)化更改。

DCOM 更新的第一階段于 2021 年 6 月 8 日發(fā)布。在該更新中，默認(rèn)情況下禁用了 DCOM 強(qiáng)化。可以通過修改注冊表來啟用它們，如下面的“注冊表設(shè)置以啟用或禁用強(qiáng)化更改”一節(jié)中所述。DCOM 更新的第二階段于 2022 年 6 月 14 日發(fā)布。這已將強(qiáng)化更改為默認(rèn)啟用，但保留了使用注冊表項(xiàng)設(shè)置禁用更改的功能。DCOM 更新的最后階段將于 2023 年 3 月發(fā)布。它將使 DCOM 強(qiáng)化保持啟用狀態(tài)，并刪除禁用它的功能。

我們知道，DCOM 強(qiáng)化更改可能會導(dǎo)致環(huán)境中出現(xiàn)應(yīng)用兼容性問題。2022 年 11 月發(fā)布的最新安全更新包括以下功能，可輕松地管理此遷移：

新的 DCOM 錯(cuò)誤事件 - 為了幫助識別在啟用 DCOM 安全強(qiáng)化更改后可能存在兼容性問題的應(yīng)用程序，我們在系統(tǒng)日志中添加了新的 DCOM 錯(cuò)誤事件。有關(guān)發(fā)布時(shí)間線和支持的平臺的詳細(xì)信息，請參閱下文。

所有非匿名激活請求的身份驗(yàn)證級別 – 為了幫助減少應(yīng)用兼容性問題，我們自動(dòng)將來自基于 Windows 的 DCOM 客戶端的所有非匿名激活請求的身份驗(yàn)證級別提高到至少 RPC_C_AUTHN_LEVEL_PKT_INTEGRITY。通過此更改，大多數(shù)基于 Windows 的 DCOM 客戶端請求將自動(dòng)接受，在服務(wù)器端啟用了 DCOM 強(qiáng)化更改，而無需對 DCOM 客戶端進(jìn)行任何進(jìn)一步修改。

雖然我們建議你安裝最新的安全更新，但如果環(huán)境中沒有安裝最新的安全更新，我們也希望為你提供更多的控制。

啟用 DCOM 強(qiáng)化。如果尚未安裝 2022 年 6 月 14 日或更高版本的更新，可以將所有 DCOM 服務(wù)器的 RequireIntegrityActivationAuthenticationLevel 注冊表項(xiàng)設(shè)置為 1。這將在你的環(huán)境中啟用 DCOM 強(qiáng)化。

提高身份驗(yàn)證級別。如果尚未安裝 2022 年 11 月 8 日或更高版本的更新，則可以為所有基于 Windows 的 DCOM 客戶端將 RaiseActivationAuthenticationLevel 注冊表項(xiàng)設(shè)置為 2。這會將來自基于 Windows 的 DCOM 客戶端的所有非匿名激活請求的身份驗(yàn)證級別提高到 RPC_C_AUTHN_LEVEL_PKT_INTEGRITY。

建議在環(huán)境中完成測試，并盡快啟用這些強(qiáng)化更改。如果在測試過程中發(fā)現(xiàn)問題，則必須在發(fā)布 2023 年 3 月更新之前聯(lián)系受影響的客戶端或服務(wù)器軟件供應(yīng)商以獲取更新或解決方法。

備注 強(qiáng)烈建議安裝可用的最新安全更新。它們提供針對最新安全威脅的高級保護(hù)，以及我們?yōu)橹С诌w移而添加的功能。有關(guān)如何強(qiáng)化 DCOM 的詳細(xì)信息和上下文，請參閱 ??DCOM 身份驗(yàn)證強(qiáng)化：需要了解的內(nèi)容??。