Correção da Vulnerabilidade de falsificação de DLL de aplicativos da Microsoft por meio de GPO

Question

Com um módulo metasploit e código POC disponível, há uma preocupação crescente com a Pesquisa de caminhos de DLL vulnerabilidade em um número cada vez maior de Microsoft e terceiros aplicações . Parece que a garantia de que o SafeDLLSearchMode está ativado reduz a capacidade de uso e gostaria de impor isso em uma rede por meio da Diretiva de Grupo. Embora esteja habilitado por padrão no XP SP2 + e exija a desativação de uma edição do Registro, eu gostaria de encontrar um arquivo ADM (ou talvez haja uma configuração de diretiva existente ausente) que me permita garantir que ele permaneça ativo.

Alguém sabe se algo como isto está lá fora, ou alguém poderia sugerir como tal um arquivo ADM deve ser? A chave em questão é:

HKLM\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode

Com um valor de 1 para ativado e 0 para desativado.

    

Answer 1

Aqui está um ADM que você pode usar para aplicar essa preferência. Se você tivesse Preferências do lado do cliente, poderia gerenciar melhor essa configuração.

CLASS MACHINE
CATEGORY "Extras"
  CATEGORY "Software Settings"
    CATEGORY "Safe DLL Search Mode"
        POLICY "Safe DLL Search Mode"
          KEYNAME "System\CurrentControlSet\Control\Session Manager"
              EXPLAIN "Enable safe DLL search mode."
          VALUENAME "SafeDllSearchMode"
            VALUEON  NUMERIC 1
            VALUEOFF NUMERIC 0
        END POLICY
    END CATEGORY
  END CATEGORY
END CATEGORY

Você também pode alterar esse valor com um script simples:

REG ADD "HKLM\System\CurrentControlSet\Control\Session Manager" /v "SafeDllSearchMode" /t REG_DWORD /d "1" /f