更新 AD 架构以解决 CVE-2021-34470 漏洞

您过去是否运行过 Exchange Server，但后来卸载了组织中的所有 Exchange Server？您在组织中是否运行早于 Exchange Server 2013 的 Exchange Server？本文对您来说至关重要，您必须更新 AD 架构才能解决 CVE-2021-34470 漏洞。

漏洞 CVE-2021-34470

如果组织中的架构管理员没有采取明确的操作，在以下情况下，您可能容易受到 CVE-2021-34470 的攻击：

• 您过去运行过 Exchange Server，但此后卸载了所有 Exchange 服务器。

• 您运行的 Exchange Server 早于 Exchange 2013（Exchange 2003、Exchange 2007 或 Exchange 2010）。

如果您的组织处于这些场景之一，我们建议更新您的 Active Directory 架构以解决 CVE-2021-34470 中的漏洞。下面详细介绍一下。

当您在组织中运行 Exchange Server 时，您已经解决了 CVE-2021-34470 漏洞。这是因为该修复随 2021 年 7 月 Exchange Server 安全更新一起提供。

重要提示：使用最新的累积更新/安全更新使 Exchange 服务器保持最新状态。当您拥有用于管理目的的 Exchange 混合服务器时也是如此。

架构扩展将保留

即使您的组织已卸载所有 Exchange 服务器，Exchange 对 Active Directory 所做的架构扩展也不会被删除。如果您过去运行过 Exchange Server，则您的 Active Directory 架构已作为 Exchange Server 安装的一部分进行了扩展，并且任何 Exchange 架构扩展仍存在于您的组织中（除非您完全重建了 Active Directory 林）。因此，您可能容易受到 CVE-2021-34470 的影响，您应该使用该脚本来解决此漏洞。

注意：Exchange Server 与 Active Directory 架构集成。如果删除 Exchange Server，Exchange 架构扩展将永远保留为架构的一部分。

该脚本仅进行解决 CVE-2021-34470 所需的更改，而不进行其他架构更改。您可以在测试模式下运行该脚本，以查看您的 Active Directory 架构是否容易受到 CVE-2021-34470 的攻击。如果您已经更新了架构，该脚本还将验证 CVE-2021-34470 是否已得到解决。

下载 Test-CVE-2021-34470 PowerShell 脚本

从官方 Microsoft GitHub 页面下载 Test-CVE-2021-34470.ps1 PowerShell 脚本。

将脚本放置在域控制器或管理服务器上的 C:\scripts 文件夹中。如果您没有脚本文件夹，请创建一个。确保检查文件是否已解锁，以防止运行脚本时出现任何错误。请阅读文章运行 PowerShell 脚本时出现未数字签名错误来了解更多信息。

检查CVE-2021-34470漏洞

以管理员身份运行 PowerShell。将目录更改为C:\scripts并运行脚本检查是否存在CVE-2021-34470漏洞。

PS C:\> cd C:\scripts
PS C:\scripts> .\Test-CVE-2021-34470.ps1

您将在输出中看到以下消息之一：

• 警告：存在 CVE-2021-34470 漏洞

• 不存在 CVE-2021-34470 漏洞

如果该漏洞不存在，那么您就完成了。但是，如果您看到存在 CVE-2021-34470 漏洞的警告，请继续执行下一步并应用修复程序。

应用CVE-2021-34470漏洞修复

在使用 -ApplyFix 开关之前，需要将用户帐户添加到 Schema Admins 组。

注意：如果您刚刚将自己添加到架构管理员组中，则需要注销并重新登录服务器才能使新组成员身份生效。

运行脚本，但这次使用 -ApplyFix 开关。

PS C:\scripts> .\Test-CVE-2021-34470.ps1 -ApplyFix

成功应用修复后，输出将如下所示。

PS C:\scripts> .\Test-CVE-2021-34470.ps1 -ApplyFix
WARNING: CVE-2021-34470 vulnerability is present.
Attempting to apply fix...
Fix was applied successfully.

就是这样！这是否有助于您解决 CVE-2021-34470 漏洞？

了解更多：使用 PowerShell 检查 Exchange 架构版本 »

结论

我们展示了如何更新 AD 架构以解决 CVE-2021-34470 漏洞。如果您过去运行过 Exchange Server，则必须下载 Test-CVE-2021-34470.ps1 PowerShell 脚本并应用修复程序。当您在组织中运行 Exchange Server 时，您已经解决了该漏洞，因为您确实应用了最新的累积更新和安全更新。

您喜欢这篇文章吗？您可能还喜欢 Microsoft Exchange Server 漏洞检查。不要忘记关注我们并分享这篇文章。