【缝隙公告】Windows Installer提权0day获得非官方补丁
颁布功夫 2021-12-100x00 缝隙概述
CVE ID | 时 间 | 2021-12-02 | |
类 型 | 权限提升 | 等 级 | 高危 |
远程利用 | 影响领域 | ||
攻击复杂度 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 已公开 | 在野利用 | 是 |
0x01 缝隙详情
近日，Microsoft Windows Installer中一个权限提升0day缝隙被在被攻击者利用。该缝隙可能使攻击者提升权限并以治理员权限运行代码，影响了所有 Windows 版本，蕴含 Windows 11 和 Windows Server 2022，并且此缝隙的PoC/EXP已在互联网上公开。
11月9日，微软颁布了CVE-2021-41379的安全更新，但建复并不美满。钻研人员发现通过利用 Microsoft Edge Elevation Service 的自由接见节造列表 (DACL) 将系统上的任何可执行文件代替为 MSI 文件，能够导致攻击者以治理员身份运行代码。目前微软暂未颁布此缝隙的补丁。
固然该0day（目前暂无CVE ID）被多方引用为对CVE-2021-41379的绕过，但钻研人员暗示情况并非如此。该缝隙源于Windows Installer创建回滚文件（.RBF）的方式，该文件允许复原装置过程中删除或批改的数据。若是在C:\Windows\Installer\Config.msi * 中创建RBF 文件，该文件随后会被移动到启动用户一时文件夹中的已知地位，而在该地位，文件的权限也会被批改，以授予用户写权限�Ｄ芄煌ü唇ǚ帕唇永蠢么朔煜�，由于Windows Installer是作为本地系统运行的，任何可由本地系统写入的文件都能够被本地用户覆盖并成为可写入的文件。
12月2日，0patch平台颁布了该缝隙的微补丁，以一时建复该缝隙。
影响领域
所有 Windows 版本
0x02 措置建议
在微软颁布此缝隙的正式补丁之前，最好的防御措施是运行 0Patch 颁布的一时补丁，它能够即时利用，且不必要沉新启动机械。但0patch平台颁布的一时补丁目前仅支持部门Windows版本：
Windows 10 v21H1 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v20H2 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v2004 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1909 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1903 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1809 (32 & 64 bit) updated with May 2021 Updates
Windows 10 v1803 (32 & 64 bit) updated with May 2021 Updates
Windows 10 v1709 (32 & 64 bit) updated with October 2020 Updates
Windows 7 ESU (32 & 64 bit) updated with November 2021 Updates
Windows Server 2019 updated with November 2021 Updates
Windows Server 2016 updated with November 2021 Updates
Windows Server 2012 R2 updated with November 2021 Updates
Windows Server 2012 updated with November 2021 Updates
Windows Server 2008 R2 ESU (32 & 64 bit) updated with November 2021 Updates
下载链接：
https://0patch.com/
0x03 参考链接
https://blog.0patch.com/2021/12/free-micropatches-for.html
https://github.com/klinix5/InstallerFileTakeOverPatch
https://blog.talosintelligence.com/2021/11/attackers-exploiting-zero-day.html
https://www.bleepingcomputer.com/news/security/windows-installerfiletakeover-zero-day-bug-gets-free-micropatch/
0x04 更新版本
版本 | 日期 | 批改内容 |
V1.0 | 2021-12-10 | 初次颁布 |
0x05 关于GA黄金甲
GA黄金甲简介
GA黄金甲公司成立于1996年，并于2010年6月23日在深交所中幼板正式挂牌上市，是国内最具实力的信息安全产品和安全治理平台、安全服务与解决规划的领航企业之一。
公司总部位于北京市中关村软件园，在全国各省、视注自治区设立分支机构六十多个，占有覆盖全国的销售系统、渠路系统和技术支持系统；并在华北、华东、西南和华南布局四大研发中心，别离为北京研发总部、上海研发中心、成都研发中心和广州研发中心。
多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。
关于GA黄金甲
GA黄金甲安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。
关注以下公家号，获取全球最新安全资讯：
京公网安备11010802024551号