Active Directory（AD）管理员可以使用组策略来缓解大型AD环境中Windows Adobe Type Manager库中最近公开和积极利用的远程代码执行（RCE）零日漏洞。
微软曾在3月23日警告说，针对Windows 7设备的有限持续的有针对性的攻击，试图利用Adobe Type Manager库中的两个未修补的漏洞。
这些安全漏洞会影响同时运行台式机和服务器Windows版本的设备，包括Windows 10，Windows 8.1，Windows 7和Windows Server的多个版本。
Microsoft意识到有针对性的有限攻击可以利用Adobe Type Manager库中未修补的漏洞，并且正在提供指导以帮助降低客户风险，直到发布安全更新为止。请参阅链接查看更多细节。https://t.co/tUNjkHNZ0N
—安全响应（@msftsecresponse）2020年3月23日
为了利用安全问题，攻击者可以诱骗受害者打开恶意制作的文档或通过Windows预览窗格查看它们-Outlook预览窗格不是攻击媒介。
Microsoft已经共享了许多变通办法，旨在阻止或减少攻击滥用这些漏洞的风险，包括禁用Windows资源管理器中的“预览”和“详细信息”窗格，禁用WebClient服务以及重命名易受攻击的库（ATMFD.DLL）。
但是，要缓解企业AD环境中的攻击，Microsoft的解决方法并不容易实现。
为了减轻质量上运行容易受到虐待的Windows版本的企业设备的问题，你能做到一气呵成与组策略的帮助，微软MVP西尔科尔特斯解释在一篇博客文章。
使用GPO减轻企业负担
首先，打开GPMC控制台并通过右键单击“组策略对象”文件夹创建一个新的GPO。
然后，转到“用户配置”>“策略”>“管理模板”>“ Windows组件”>“文件资源管理器”，并启用这两个GPO选项以禁用本地和通过网络的预览：
•关闭缩略图的显示，仅显示图标
•关闭缩略图的显示，仅在网络文件夹上显示图标
Sylvain补充说：“关闭您的GPO，并将该GPO与组织中的所有自动化办公室用户帐户（简而言之，就是可以在您的工作站上使用的所有用户帐户）相关联。”
接下来，在工作站上使用GPMC创建一个新的GPO，并从“计算机配置”>“策略”>“ Windows设置”>“安全设置”>“系统服务”部分禁用WebClient服务。
此GPO必须与组织中的所有其他工作站计算机帐户关联，以使WebClient在任何地方都被禁用。
一旦Microsoft发布了针对受主动利用的RCE漏洞的补丁程序，这些漏洞会影响所有受支持的Windows版本中的字体解析组件，则应还原两个GPO。
微软表示正在为这个零日漏洞进行修复，并暗示将在本月的补丁星期二（4月14日）中发布将来的版本。
上周，0Patch平台背后的公司Acros Security 发布了微代码补丁，以减轻运行Windows 7 64位和Windows Server 2008 R2的设备上被利用的风险，这些设备未参加Microsoft的扩展安全更新（ESU）程序。