搜索

[29121] 2021-08-16_【漏洞利用】CVE-2021-0090：英特尔驱动程序和支持助手(DSA)特权提升(EOP)

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-19
2021-08-16_【漏洞利用】CVE-2021-0090：英特尔驱动程序和支持助手(DSA)特权提升(EOP) 【 漏 洞 利 用 】 C V E - 2 0 2 1 - 0 0 9 0 ： 英 特 尔 驱 动 程 序 和 支 持 助 手   ( D S A )   特 权 提 升   ( E O P ) O t s 安 全   2 0 2 1 - 0 8 - 1 6 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 I n t e l   D r i v e r   &   S u p p o r t   A s s i s t a n t   ( D S A )   是 用 于   I n t e l   组 件 的 驱 动 程 序 和 软 件 更 新 实 用 程 序 。 D S A   版 本   2 0 . 8 . 3 0 . 6 （ 可 能 更 早 ） 容 易 受 到 本 地 提 权 重 解 析 点 错 误 的 影 响 。 非 特 权 用 户 对 基 于   W e b   的 界 面 中 的 配 置 设 置 具 有 名 义 上 的 控 制 权 。 这 包 括 能 够 为 下 载 和 数 据 （ 例 如 安 装 程 序 和 日 志 文 件 ） 配 置 文 件 夹 位 置 。 非 特 权 用 户 可 以 更 改 文 件 夹 位 置 ， 通 过 重 解 析 点 将 特 权 文 件 复 制 操 作 强 制 到 “ 受 保 护 ” 目 录 ， 并 提 供 有 效 载 荷 （ 例 如 D L L   加 载 技 术 ） 以 执 行 意 外 代 码 。 值 得 注 意 的 是 ， N C C   G r o u p   的 R i c h   W a r r e n 之 前 发 现 了   D S A   ( C V E - 2 0 1 9 - 1 1 1 1 4 )   中 的 一 个 类 似 错 误 。 此 技 术 咨 询 提 供 了 该 错 误 的 出 色 概 述 以 及 D S A   的 操 作 细 节 。 演 练 演 练 以 下 演 练 展 示 了 一 种 在 非 特 权 用 户 上 下 文 中 发 现 和 利 用   E o P   错 误 的 简 单 方 法 ： 1   –   用 户 选 择   W i n d o w s   任 务 栏 上 的   D S A   托 盘 图 标 ： 2   –   D S A   界 面 在 默 认   W e b   浏 览 器 中 打 开 ： 3   –   选 择 设 置 链 接 （ 在 左 侧 ） 打 开   D S A   设 置 页 面 。 非 特 权 用 户 可 以 更 改 文 件 夹 位 置 （ 在 这 种 情 况 下 默 认 为 C : P r o g r a m D a t a I n t e l D S A ） ：
4   –   记 下 默 认 文 件 夹 路 径 ， 该 路 径 的   D A C L   条 目 显 示 A u t h e n t i c a t e d   U s e r s   组 对 目 录 具 有 完 全 控 制 权 限 ： 5   –   在   D S A   目 录 中 ， 文 件 夹 结 构 包 含 数 据 、 下 载 和 日 志 。 结 构 如 下 ： 6   –   在   D S A   设 置 页 面 中 ， 非 特 权 用 户 可 以 通 过 选 择 文 件 夹 位 置 下 的 更 改 位 置 按 钮 来 更 改 目 录 。 这 个 浏 览 对 话 框 提 示 ：
7   –   更 改 文 件 夹 目 录 后 ， D S A   服 务 （ D S A S e r v i c e . e x e ） 将 先 前 文 件 夹 位 置 下 的 文 件 夹 结 构 和 内 容 移 动 到 新 文 件 夹 。 为 了 演 示 ， 在 c : t e s t D o w n l o a d s t e s t . t x t 的 文 件 夹 目 录 结 构 中 创 建 了 一 个 测 试 文 件   ( t e s t . t x t )   。 在 以 下 屏 幕 截 图 中 ， P r o c M o n 显 示 了 更 改 文 件 夹 位 置 时 从 先 前 目 录 结 构   (   c : t e s t   )   到 新 目 录 结 构   (   c : t e m p   ) 的 “ 移 动 ” 活 动 。 这 包 括   t e x t . t x t   文 件 到 c : t e m p D o w n l o a d s t e s t . t x t ： 8   –   当 然 ， 这 为 识 别 潜 在 的 重 解 析 点 逻 辑 错 误 设 置 了 一 个 有 趣 的 测 试 用 例 。 在 这 种 情 况 下 ， 文 件 夹 连 接 挂 载 点 设 置 在 先 前 的 D S A   文 件 夹 位 置 目 录 结 构   (   c : t e s t d o w n l o a d s   )   上 ， 并 针 对 受 保 护 的 c : w i n d o w s s y s t e m 3 2   目 录 。 该 工 具 采 用 的 是 创 建 该 文 件 夹 结 C r e a t e M o u n t P o i n t 由 詹 姆 斯 · 福 肖 谷 歌 的 P r o j e c t   Z e r o 的 。 注 意 ： 非 特 权 用 户 可 以 利 用 其 他 工 具 来 创 建 连 接 ， 例 如 N e w - P a t h   P o w e r S h e l l   c m d l e t 。 9   –   为 了 利 用 ， 自 定 义 动 态 链 接 库   ( D L L )   被 植 入 当 前 D S A   文 件 夹 位 置 目 录 结 构 中 的 c : t e m p d o w n l o a d s u l a p i . d l l 。 在 这 种 情 况 下 ， 特 别 选 择 u a l a p i . d l l ， 因 为 此   D L L   将 在 系 统 启 动 时 （ 例 如 重 新 启 动 后 ） 由 W i n d o w s   S p o o l e r   服 务 加 载 。 W i n d o w s   1 0   上 不 存 在 合 法 的   D L L 。  
1 0   –   设 置 文 件 夹 连 接 和 暂 存 u a l p i . d l l   后 ， 文 件 夹 位 置 在   D S A   设 置 中 更 改 。 该 操 作 导 致   D S A   服 务 “ 移 动 ”   u a l p i . d l l 到 c : w i n d o w s s y s t e m 3 2 ： 1 1   –   重 新 启 动 后 ， 打 印 后 台 处 理 程 序 会 加 载 u a l a p i . d l l 以 执 行 作 为 N T   A U T H O R I T Y S Y S T E M 的 有 效 负 载 。 在 这 种 情 况 下 ， D L L   会 生 成   c m d . e x e 和 随 后 的   n o t e p a d . e x e ： 以 编 程 方 式 利 用 这 一 点 对 读 者 来 说 是 一 种 练 习   防 御 考 虑 组 织 和 家 庭 用 户 ： 更 新 到 最 新 版 本 的 英 特 尔 驱 动 程 序 和 支 持 助 手   ( D S A ) 。 截 至 本 文 草 稿 ， 最 新 版 本 为   2 1 . 4 . 2 9 . 8 。 供 应 商 ： 在 微 软 的   B u g   赏 金 计 划 细 节 中 ， 微 软 声 称 “ 广 泛 的 缓 解 措 施 ” 将 应 用 于 “ 未 来 ” 的 重 解 析 点 错 误 类 。 迄 今 为 止 ， M i c r o s o f t   不 再 为 此 类 错 误 提 供   B u g   B o u n t y   奖 励 。 在 应 用 “ 广 泛 的 缓 解 措 施 ” 来 解 决 这 个 操 作 系 统 范 围 内 的 问 题 之 前 （ 即 像   W i n 1 0   1 8 0 9   中 的 硬 链 接 ？ ） ， 微 软 和 第   3 方 供 应 商 可 能 不 得 不 继 续 单 独 解 决 这 些 符 号 链 接 问 题 。
结 论 英 特 尔 于   2 0 2 0   年   9   月 收 到 此 漏 洞 的 通 知 ， 并 于   2 0 2 1   年   6   月 发 布 了 补 丁 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理