九游老哥云
Windows OLE远程代码执行误差(CVE-2014-4114) (Alert2014-09)
2014-10-15
形貌：
CVE ID：CVE-2014-4114受影响的软件及系统：
====================
Microsoft Windows Vista
Microsoft Windows Server 2008
Microsoft Windows 7
Microsoft Windows Server 2008 R2
Microsoft Windows 8
Microsoft Windows 8.1
Microsoft Windows RT
Microsoft Windows RT 8.1
未受影响的软件及系统：
======================
Microsoft Windows XP
综述：
======
Windows OLE组件功效中保存一个误差，若是用户翻开包括特制 OLE 工具的文件，该误差可能允许远程执行代码。乐成使用此误差的攻击者可以获得与登任命户相同的用户权限。此误差已经在某些APT攻击中被使用。
微软已经在MS14-060中修复了此清静误差，强烈建议受影响的用户实时升级最新的清静补丁。
剖析：
======
OLE（工具链接与嵌入）是一种允许应用程序共享数据和功效的手艺，Microsoft Office文档可以使用OLE工具。
INF文件是Windows的装置信息文件，内里包括需要下载并装置的软件信息。
Office文档（例如PowerPoint文件，后缀为.pptx/.ppt/.pps/.ppsx）被翻开时，其中的某些特制的OLE工具可加载并执行远程INF文件，这导致INF文件中设定的远程恶意可执行程序被下载，然后通过操作注册表，从而进一步执行该恶意文件。
远程攻击者可能使用此误差通过诱使用户翻开恶意的Office文档，并控制用户系统。
此误差可能通过种种使用OLE组件的文档举行使用。现在已知的使用方法是通过PowerPoint文件，特殊是.pps和.ppsx这些可以自动播放的文件。
现在以为Windows XP操作系统不受此误差影响。
解决要领：
若是不可实时装置补丁，建议接纳如下防护步伐:* 禁用Webclient服务。
由于加载外部INF的方法是通过WEBDAV方法举行，以是禁用WEBDAV会见可以避免攻击。
但这会导致所有依赖WEBDAV的功效失效。
禁用要领：
单击“最先”，单击“运行”（在Windows 8 和 8.1上按 Windows 徽标键 + S 翻开搜索），
键入“Services.msc”，然后单击“确定”。
右键单击“WebClient”，然后选择“属性”。
将“启动类型”更改为“已禁用”。若是服务正在运行，请单击“阻止”。
单击“确定”，然退却出服务治理控制台。
* 在界线网关上阻止对 TCP 端口 139 和 445的会见
厂商状态：
==========
厂商已在清静通告MS14-060中修复了此清静误差。我们建议用户开启自动更新服务以实时装置最新补丁。
厂商清静通告：
http://technet.microsoft.com/security/bulletin/MS14-060
附加信息：
==========
1. http://technet.microsoft.com/security/bulletin/MS14-060
2. http://www.nsfocus.net/index.php?act=alert&do=view&aid=151
