「漏洞通告」Type1 字体解析远程代码执行漏洞（0-day）
2020-03-24
当地时间3月23日，微软发布ADV200006号通告，称其发现目前有在野攻击利用Adobe Type Manager Library中的2个0-day漏洞。
由于该Library在处理multi-master字体（Adobe Type 1 PostScript格式）时存在缺陷，攻击者可以精心构造一个恶意的文档并诱使用户使用Windows Preview pane预览，从而利用该漏洞来远程执行代码。
目前Microsoft已经在准备相关的补丁，预计于下个月的补丁日发出。同时建议用户现在可以采取相应的缓解措施来进行防护。
受影响版本：
- Windows 10 for 32-bit Systems
- Windows 10 for x64-based Systems
- Windows 10 Version 1607 for 32-bit Systems
- Windows 10 Version 1607 for x64-based Systems
- Windows 10 Version 1709 for 32-bit Systems
- Windows 10 Version 1709 for ARM64-based Systems
- Windows 10 Version 1709 for x64-based Systems
- Windows 10 Version 1803 for 32-bit Systems
- Windows 10 Version 1803 for ARM64-based Systems
- Windows 10 Version 1803 for x64-based Systems
- Windows 10 Version 1809 for 32-bit Systems
- Windows 10 Version 1809 for ARM64-based Systems
- Windows 10 Version 1809 for x64-based Systems
- Windows 10 Version 1903 for 32-bit Systems
- Windows 10 Version 1903 for ARM64-based Systems
- Windows 10 Version 1903 for x64-based Systems
- Windows 10 Version 1909 for 32-bit Systems
- Windows 10 Version 1909 for ARM64-based Systems
- Windows 10 Version 1909 for x64-based Systems
- Windows 7 for 32-bit Systems Service Pack 1
- Windows 7 for x64-based Systems Service Pack 1
- Windows 8.1 for 32-bit systems
- Windows 8.1 for x64-based systems
- Windows RT 8.1
- Windows Server 2008 for 32-bit Systems Service Pack 2
- Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
- Windows Server 2008 for Itanium-Based Systems Service Pack 2
- Windows Server 2008 for x64-based Systems Service Pack 2
- Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
- Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
- Windows Server 2008 R2 for x64-based Systems Service Pack 1
- Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
- Windows Server 2012
- Windows Server 2012 (Server Core installation)
- Windows Server 2012 R2
- Windows Server 2012 R2 (Server Core installation)
- Windows Server 2016
- Windows Server 2016 (Server Core installation)
- Windows Server 2019
- Windows Server 2019 (Server Core installation)
- Windows Server, version 1803 (Server Core Installation)
- Windows Server, version 1903 (Server Core installation)
- Windows Server, version 1909 (Server Core installation)
漏洞验证：
打开资源管理器，在菜单栏中点击“查看”，检查是否有开启“预览窗格”或“详细信息窗格”，如果有开启其中任意一个，则可能存在漏洞风险。
漏洞防护：
- 在Windows资源管理器中禁用预览窗格和详细信息窗格
在Windows资源管理器中禁用预览和详细信息窗格将阻止在Windows资源管理器中自动显示OTF字体。虽然可以防止在Windows资源管理器中查看恶意文件，但并不能阻止经过身份验证的本地用户运行特殊设计的程序来利用此漏洞。注：使用该方法后Windows资源管理器将不会再自动显示OTF 字体。
Windows 7、Windows 8.1 和Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、Windows Server 2012 R2禁用预览窗格：
- 打开Windows资源管理器，单击组织，然后单击布局。
- 清除详细信息窗格和预览窗格的菜单选项。
- 单击整理，然后单击文件夹和搜索选项。
- 单击视图选项卡。
在高级设置下，选中“始终显示图标，从不显示缩略图框”。（如需撤销该方法，取消勾选即可恢复）
- 关闭所有 Windows 资源管理器使配置生效。
Windows 10 和Windows Server 2016、Windows Server 2019禁用预览窗格：
- 打开 Windows 资源管理器（在Windows 10中为文件资源管理器），单击视图选项卡。
- 清除详细信息窗格和预览窗格的菜单选项。
- 单击选项，然后单击更改文件夹和搜索选项。
- 单击视图选项卡。
在高级设置下，勾选始终显示图标，从不显示缩略图框。（如需撤销该方法，取消勾选即可恢复）
- 关闭所有 Windows 资源管理器使配置生效。
- 禁用WebClient服务
要禁用WebClient服务，请按照以下步骤操作：
- 单击开始，单击运行（或按键盘上的Windows 键和R），键入Services.msc，然后单击确定。
- 右键单击WebClient服务，然后选择属性。
- 将启动类型更改为禁用。如果服务正在运行，请单击停止。
- 单击确定，退出管理应用程序。
注：当禁用WebClient服务时，不会传输 Web 分布式创作和版本管理(WebDAV)请求，所有明确依赖于WebClient服务的任何服务将不会启动，并且会在系统日志中记录错误消息。例如，将无法从客户端计算机访问WebDAV共享。
- 重命名 ATMFD.DLL
32位操作系统：
- 在管理命令提示符处输入以下命令：
- 重启系统
64位操作系统：
在管理命令提示符处输入以下命令：
