漏洞案例已知被利用 · CISA KEV
CVE-2020-1472Zerologon Netlogon 权限提升漏洞
Netlogon 安全通道认证中的密码学缺陷允许攻击者伪造认证，最终接管域控制器和整个 Active Directory 域。
漏洞概览
- CVE 编号
- CVE-2020-1472
- 影响产品
- Microsoft Netlogon Remote Protocol
- 漏洞类型
- 权限提升与域接管
- CWE 分类
- 所查记录未提供统一 CWE 分类
- CVE 公开日期
- 2020-08-17
- CVE 记录更新日期
- 2025-10-21
- 资料核验日期
- 2026-09-18
- 区域标签
- 全球（微软域环境）
安全风险等级评估
10.0
严重 · CVSS 3.1评分来源：NVD / CVE 记录
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
其他公开评分：microsoft · CVSS 3.1 5.5（中危）。评分机构、模型或版本不同可能产生差异。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| Windows Server 版本 2004 x64 系统 | 10.0.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2019 x64 系统 | 10.0.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2019 (Server Core 安装) x64 系统 | 10.0.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server, 版本 1909 (Server Core 安装) x64 系统 | 10.0.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server, 版本 1903 (Server Core 安装) x64 系统 | 10.0.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2016 x64 系统 | 10.0.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2016 (Server Core 安装) x64 系统 | 10.0.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2008 R2 Service Pack 1 x64 系统 | 6.1.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2008 R2 Service Pack 1 (Server Core 安装) x64 系统 | 6.0.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2012 x64 系统 | 6.2.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2012 (Server Core 安装) x64 系统 | 6.2.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2012 R2 x64 系统 | 6.3.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 2012 R2 (Server Core 安装) x64 系统 | 6.3.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
| Windows Server 版本 20H2 x64 系统 | 10.0.0 ≤ 版本 < publication | CNA 受影响上界见本行；适用补丁以厂商矩阵为准 |
漏洞详情
漏洞机制
Netlogon 安全通道建立中的缺陷可使未认证攻击者通过 MS-NRPC 与域控制器交互，进而取得域管理员级别的控制。网络可达性是关键前提，已有普通域账户不是必要条件。
触发条件与权限边界
微软通过分阶段更新强化 Netlogon 安全通道，包含 2020 年初始部署和 2021 年后续强制阶段。域内兼容设备和安全通道策略需要一并检查，不能只确认某次补丁已安装。
场景与影响
域控制器机器账户与安全通道遭滥用后，影响可能扩展至整个域。处置需结合域控、机器账户、复制和认证日志确认实际影响，不能将漏洞存在直接等同于域已失陷。
检测与排查
资产、配置与日志核查
核对所有域控制器的补丁、强制阶段策略和不安全 Netlogon 事件，确认非 Windows 设备兼容性；若存在入侵，按域恢复方案处理凭据与持久化。
防范措施与修复验证
修复与缓解
立即更新所有域控制器并启用强制安全通道；按微软阶段性部署指南监控不安全 Netlogon；完成域凭据轮换和异常机器账户审计。
修复后的验证
完成变更后，回读 Microsoft Netlogon Remote Protocol 的实际运行版本、补丁与配置，确认已落在厂商修复范围；需要重启的服务或系统必须验证重启结果。再检查相关业务功能、访问控制与日志，记录修复前后证据。临时缓解应单独标注，并跟踪正式修复；没有触发异常不等于漏洞不存在。
参考来源
英文技术描述已整理为中文，保留产品名、协议名和版本号。CVE 记录与 KEV 核验日期：2026-09-18；KEV 目录版本：2026.09.16。厂商公告可能继续更新，处置时应核对最新产品矩阵。
© 版权声明
文章版权归原作者所有，内容仅用于合法合规的学习、研究与安全防护，未经允许请勿转载。
THE END
暂无评论内容