搜索

[28751] 2021-02-12_CVE-2021-24092：隐藏12年-WindowsDefender中的特权升级漏洞

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-02-12_CVE-2021-24092：隐藏12年-WindowsDefender中的特权升级漏洞 C V E - 2 0 2 1 - 2 4 0 9 2 ： 隐 藏 1 2 年 - W i n d o w s   D e f e n d e r 中 的 特 权 升 级 漏 洞 O t s 安 全   2 0 2 1 - 0 2 - 1 2 执 行 摘 要 在 本 文 中 ， 我 们 披 露 了 W i n d o w s   D e f e n d e r 中 的 一 个 严 重 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 来 提 升 非 管 理 员 用 户 的 特 权 。 W i n d o w s D e f e n d e r 已 与 W i n d o w s 操 作 系 统 深 度 集 成 ， 并 且 默 认 情 况 下 会 在 每 台 W i n d o w s 计 算 机 （ 超 过 1 0 亿 台 设 备 ） 上 安 装 W i n d o w s   D e f e n d e r   。 W i n d o w s 或 W i n d o w s 组 件 中 的 特 权 服 务 可 能 包 含 一 些 错 误 ， 这 些 错 误 会 导 致 特 权 的 恶 意 升 级 。 攻 击 者 经 常 使 用 此 类 漏 洞 进 行 复 杂 的 攻 击 。 安 全 产 品 可 确 保 设 备 安 全 ， 并 应 防 止 此 类 攻 击 的 发 生 ， 但 是 如 果 安 全 产 品 本 身 引 入 了 漏 洞 该 怎 么 办 ？ 谁 在 保 护 保 护 者 ？ M i c r o s o f t 修 补 了 W i n d o w s   D e f e n d e r 中 的 漏 洞 ， 并 于 2 月 9 日 发 布 了 修 复 程 序 。 在 修 复 此 漏 洞 之 前 ， 该 漏 洞 已 被 发 现 1 2 年 了 ， 这 可 能 是 由 于 激 活 此 特 定 机 制 的 性 质 所 致 。 S e n t i n e l O n e 不 知 道 有 任 何 迹 象 表 明 该 缺 陷 已 被 野 蛮 利 用 。 但 是 ， 所 有 S e n t i n e l O n e 客 户 都 受 到 此 漏 洞 的 保 护 。 我 从 没 来 过 . . . 驱 动 程 序 （ 驱 动 程 序 的 内 部 名 称 ） 是 W i n d o w s   D e f e n d e r 修 复 过 程 的 一 部 分 。 它 负 责 从 内 核 模 式 删 除 恶 意 软 件 创 建 的 文 件 系 统 和 注 册 表 资 源 。 加 载 后 ， 驱 动 程 序 首 先 创 建 文 件 的 句 柄 ， 该 文 件 包 含 激 活 后 的 操 作 日 志 。 问 题 在 于 驱 动 程 序 创 建 此 特 定 文 件 的 句 柄 的 方 式 ， 如 下 所 示 ： 该 寄 存 器 先 前 已 与 自 身 进 行 异 或 ， 这 意 味 着 该 寄 存 器 包 含 零 ， 因 此 该 参 数 获 取 常 数 ： 。 被 认 为 是 先 删 除 原 始 文 件 然 后 创 建 新 文 件 的 事 务 。 您 会 注 意 到 ， 无 论 此 文 件 是 否 为 链 接 ， 都 不 会 进 行 任 何 验 证 。 因 此 ， 在 处 创 建 链 接 将 使 攻 击 者 可 以 覆 盖 任 意 文 件 。 该 链 接 应 该 指 向 我 们 要 覆 盖 的 文 件 。 例 如 ： B T R . s y s r 1 4 d C r e a t e D i s p o s i t i o n F I L E _ S U P E R S E D E F I L E _ S U P E R S E D E C : W i n d o w s T e m p B o o t C l e a n . l o g
1 .   创 建 一 个 指 向 n o t e p a d . e x e 的 硬 链 接 。 2 .   为 演 示 目 的 模 拟 B T R 的 加 载 ， 通 常 由 W i n d o w s   D e f e n d e r 在 某 些 修 复 阶 段 加 载 。 3 .   N o t e p a d . e x e 被 覆 盖 ， 不 再 是 有 效 的 P E 。 我 们 在 V i r u s T o t a l 上 运 行 以 下 查 询 ： 令 人 惊 讶 的 是 ， 我 们 发 现 此 驱 动 程 序 的 版 本 包 含 该 错 误 ， 并 由 M i c r o s o f t 于 2 0 0 9 年 签 署 。 例 如 ： 该 错 误 可 能 早 于 2 0 0 9 年 就 已 存 在 ， 但 是 V i r u s T o t a l 仅 允 许 您 搜 索 在 限 定 时 间 内 上 传 的 文 件 。 我 们 假 定 此 漏 洞 直 到 现 在 仍 未 被 发 现 ， 因 为 驱 动 程 序 通 常 不 存 在 于 硬 盘 驱 动 器 上 ， 而 是 在 需 要 时 被 丢 弃 并 激 活 （ 使 用 随 机 名 称 ） ， 然 后 被 清 除 。 S H A   2 5 6   0 4 6 3 f 8 b 5 b d 3 1 c d 1 b c f e 2 7 f e 0 0 e e 3 c b 0 9 e f 7 6 a 9 a 7 8 c e 0 c 0 6 4 b 6 f 6 9 f 7 f e b c 6 3 0 f 9 S H A   1   8 8 e 1 6 6 8 e a 5 a 9 e 6 e 4 7 6 c 5 2 a 9 d c 6 2 9 9 3 4 b 2 8 1 e 3 8 a c S H A   2 5 6   5 5 d 9 9 8 9 7 3 c 1 8 2 c 3 9 5 b 5 4 0 7 a 4 2 b 6 3 d b b 5 2 8 c 6 5 d 8 2 9 a 7 a f 6 c d 0 8 7 9 7 b 0 e d e 6 3 1 e e f S H A   1   0 1 9 b d 0 0 6 0 d 4 b 4 a d 8 c 4 1 7 d 9 e 2 8 e 1 f d a 3 6 1 e 8 5 f b 5 5 S H A   2 5 6   1 7 4 1 2 2 a 8 3 7 3 3 8 6 4 8 a 1 d 8 8 2 6 3 e 1 1 8 7 8 1 d 9 1 2 a e 5 6 6 d 7 f 7 7 1 1 f 0 8 7 9 2 a 5 4 0 2 8 d 5 0 2 1 S H A   1   d 4 5 7 0 5 e 4 5 6 6 d b e 9 e a a 7 1 5 5 a 7 2 9 6 e 6 3 7 b e d e c 7 c 7 0 S H A   2 5 6   c 4 4 7 a 4 7 c 5 2 4 6 4 5 3 c 5 6 5 5 e 6 d 1 7 1 6 f 0 9 5 4 6 6 2 f c 1 8 5 f 2 8 6 4 5 6 8 1 5 0 9 d 1 3 6 6 9 1 5 c d 4 b S H A   1   f 0 b e 7 1 3 f c b 0 c 7 6 6 f 6 2 7 4 6 2 7 3 a e d a f b c a 9 0 9 3 8 7 b 3 S H A   2 5 6   8 d f 7 4 4 6 8 e 2 6 f 7 7 5 6 b 2 f f 5 e 7 5 e 1 d 8 3 3 4 5 2 2 6 8 8 2 a 8 a e 2 d a 0 8 e 2 5 1 9 6 3 c 8 1 9 c a 3 c 5 c S H A   1   9 a 3 d 7 2 7 c 1 3 1 3 0 8 f 5 9 b c 4 e 8 0 4 f e 1 b 7 9 d 9 0 7 6 8 4 b 6 1
减 轻 运 行 W i n d o w s   D e f e n d e r 更 新 版 本 的 计 算 机 受 到 保 护 ， 免 受 C V E - 2 0 2 1 - 2 4 0 9 2 的 侵 害 。 W i n d o w s   1 0 的 最 新 版 本 在 更 新 后 ， 使 用 本 地 硬 链 接 受 到 E o P 攻 击 的 保 护 。 结 论 当 然 ， 尽 管 似 乎 尚 未 利 用 该 漏 洞 ， 但 不 良 行 为 者 可 能 会 想 出 如 何 在 未 修 补 的 系 统 上 利 用 它 。 此 外 ， 由 于 该 漏 洞 从 2 0 0 9 年 左 右 开 始 在 所 有 W i n d o w s   D e f e n d e r 版 本 中 存 在 ， 因 此 很 可 能 许 多 用 户 将 无 法 应 用 该 修 补 程 序 ， 从 而 使 他 们 容 易 受 到 以 后 的 攻 击 。 S e n t i n e l O n e 的 客 户 受 到 此 漏 洞 的 保 护 ， 因 为 在 安 装 S e n t i n e l O n e 代 理 时 不 会 加 载 此 驱 动 程 序 。 使 用 这 样 的 漏 洞 运 行 代 码 通 常 比 较 棘 手 ， 但 并 非 没 有 可 能 。 需 要 使 用 某 些 原 语 ， 但 这 仍 然 可 以 用 于 各 种 恶 意 活 动 ， 例 如 禁 用 安 全 产 品 。 披 露 时 间 表 2 0 2 0 年 1 1 月 1 6 日 – 向 M S R C 发 送 了 初 次 报 告 。 2 0 2 0 年 1 1 月 1 6 日 –   M S R C 的 初 步 回 应 称 他 们 正 在 对 此 进 行 调 查 。 2 0 2 0 年 1 1 月 3 0 日 –   M S R C 承 认 他 们 重 现 了 该 错 误 并 开 始 对 其 进 行 处 理 。 2 0 2 1 年 2 月 9 日 –   M S R C 发 布 了 补 丁 。 本 文 翻 译 自 ： h t t p s : / / m a l w a r e . n e w s / t / c v e - 2 0 2 1 - 2 4 0 9 2 - 1 2 - y e a r s - i n - h i d i n g - a - p r i v i l e g e - e s c a l a t i o n - v u l n e r a b i l i t y - i n - w i n d o w s - d e f e n d e r / 4 6 6 8 8 / 1 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理