Microsoft 安全公告 MS15-122 - 重要
为消除安全功能绕过漏洞 (3105256) 的 Kerberos 安全更新
发布日期：2015 年 11 月 10 日
版本： 1.0
执行摘要
此安全更新程序修复了 Microsoft Windows 中的一个安全功能绕过漏洞。攻击者可以绕过目标计算机上的 Kerberos 身份验证，并解密由 BitLocker 保护的驱动器。只要目标系统在没有 PIN 或 USB 密匙的情况下启动 BitLocker，计算机加入网域，攻击者能够物理访问计算机，此绕过漏洞就可能被利用。
对于 Windows 所有受支持的版本，此安全更新的等级为“重要”。有关详细信息，请参阅“受影响的软件”部分。
更新通过添加额外的身份验证检查，在密码更改前运行，以解决绕过漏洞。有关该漏洞的详细信息，请参阅漏洞信息一节。
漏洞信息
Windows Kerberos 安全功能绕过漏洞 – CVE-2015-6095
当 Kerberos 未能成功检查用户登录工作站的密码更改，安全功能绕过漏洞就会存在于 Windows 中。攻击者可以绕过目标计算机上的 Kerberos 身份验证，并解密由 BitLocker 保护的驱动器。
能够物理访问目标计算机的攻击者可通过连接工作站至恶意 Kerberos 密钥分发中心 (KDC) 而绕过 Kerberos 身份验证。
通过添加额外的身份验证检查，此更新消除了该绕过漏洞。Microsoft 通过协调漏洞披露渠道了解到有关这些安全功能绕过漏洞的信息。当时此安全公告首次发布，因而 Microsoft 没有受到关于尝试利用此绕过漏洞的任何攻击。
缓解因素
以下缓解因素在您遇到的情形中可能会有所帮助：
仅当目标系统在没有 PIN 或 USB 密钥的情况下启用了 BitLocker，此绕过漏洞才可能被利用。
域用户必须登录到目标计算机才能成功进行攻击。变通办法Microsoft 并未发现此漏洞的任何变通办法。