服务器——SSL/TLS协议信息泄露漏洞(CVE-2016-2183)修复办法

前言：近期某台Windows Server服务器的远程连接端口(3389)被扫出了SSL/TLS协议信息泄露漏洞(CVE-2016-2183),尝试了网上很多复制来复制去的"解决方法",直接导致堡垒机连不上服务器,每次连不上服务器又得去找服务器提供方,真的非常麻烦,在此不得不吐槽一下某些不负责任的复制粘贴,同时,记录下真正的解决方案以供大家参考。

环境：
Windows Server 2008 R2

---

(1).禁用FIPS兼容算法

进入本地安全策略

进入本地策略-安全选项,找到系统加密: 将FIPS兼容算法用于加密、哈希和签名

右键进入属性,将其设置为已禁用,然后点击应用

(2).修改SSL密码套件

进入编辑组策略

进入计算机配置-管理模板-网络-SSL配置设置,找到SSL密码套件顺序,右键进入编辑

将其设置为已启用,并将SSL密码套件中的原有内容替换为以下值:

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521,TLS_ECDHE_ECDSA,WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_NULL_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA

(3).重启服务器

重启完成后,检查远程连接是否正常,然后重新进行漏洞扫描即可

参考文章

• Windows Server 2008或2012 修复CVE-2016-2183(SSL/TLS)漏洞的办法
• Linux请参考 CVE-2016-2183 修复过程，亲测有效

---

后续 2023-9-8

还有一种解决方案：在大多数情况下，出现这个问题是因为堡垒机使用了服务器的3389端口进行远程，所以我们只需要在防火墙中，将3389端口设置为仅对堡垒机开放就可以了。