微软远程代码执行漏洞警报（ADV200006）发布，临时防护措施

一、漏洞概况

北京时间3月24日，微软紧急发布一则Type 1字体解析远程代码执行漏洞警报（ADV200006）。该漏洞是由于Windows内置的Adobe Type Manager库在解析特制的Adobe Type 1 PostScript格式时处理不当引起，可导致远程代码执行。攻击者可通过多种方式利用此漏洞，例如诱导用户打开或在 Windows 预览窗格中查看有威胁的文档。该漏洞微软评级为 “Critical”（高危），影响Windows7及其之后的所有版本Windows系统（WinXP不受影响），危害较大。

微软官方提供了临时防御方式，并预计会在下个月的补丁日发布该漏洞的修复补丁。

二、影响范围：

三、临时防御措施

1、在Windows资源管理器中禁用【预览窗格】和【详细信息窗格】。

微软提供了多种临时防御措施。我们推荐此操作难度及影响程度都较低的方法。

（1）Windows 7、Windows 8.1、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、Windows Server 2012 R2系统操作方法：

l  打开 Windows 资源管理器，单击【组织】，然后单击【布局】。

l  取消勾选【细节窗格】和【预览窗格】。

l  单击【组织】，然后单击【文件夹和搜索选项】。

l  单击【查看】选项卡。

l  在高级设置下，选中“始终显示图标，从不显示缩略图”框。

l  关闭 Windows 资源管理器的所有打开的实例，以使更改生效。

（2）Windows Server 2016、Windows 10 和 Windows Server 2019系统操作方法：

l  打开 Windows 资源管理器，单击【查看】选项卡。

l  取消选择【详细信息窗格】和【预览窗格】的菜单选项。

l  单击【选项】，然后单击【更改文件夹和搜索选项】。

l  单击【查看】选项卡。

l  在高级设置下，选中“始终显示图标，从不显示缩略图”框。

l  关闭 Windows 资源管理器的所有打开的实例，以使更改生效。

（3）措施产生的影响。

Windows 资源管理器不会自动显示OTF 字体。

2、重命名ATMFD.DLL文件

方法1在企业中执行较繁琐，企业管理员可以通过此下发命令的方式统一处理。

（1）32位操作系统操作方法：

l  在管理员权限的命令行里输入

cd “%windir%\system32”

takeown.exe /f atmfd.dll

icacls.exe atmfd.dll /save atmfd.dll.acl

icacls.exe atmfd.dll /grant Administrators:(F)

rename atmfd.dll x-atmfd.dll

l  重启系统

（2）64位操作系统操作方法：

l  在管理员权限的命令行里输入

cd “%windir%\system32”

takeown.exe /f atmfd.dll

icacls.exe atmfd.dll /save atmfd.dll.acl

icacls.exe atmfd.dll /grant Administrators:(F)

rename atmfd.dll x-atmfd.dll

cd “%windir%\syswow64”

takeown.exe /f atmfd.dll

icacls.exe atmfd.dll /save atmfd.dll.acl

icacls.exe atmfd.dll /grant Administrators:(F)

rename atmfd.dll x-atmfd.dll

l  重启系统

（3）措施产生的影响：

依赖嵌入式字体技术的应用程序将无法正确显示。禁用ATMFD.DLL可能会导致某些使用OpenType字体的应用程序无法正常运行。

注：此措施操作存在风险，不建议一般用户使用。由于Windows 10 1709版本以后不存在ATMFD.DLL文件, 如遭遇上述命令执行失败，具体可参考微软官方警报相关命令。其他临时防御措施也请见微软官方警报。（https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/adv200006）

火绒将会持续关注该漏洞的后续相关内容及补丁信息。