【漏洞通告】Windows Installer提权0day获得非官方补丁
发布时间 2021-12-100x00 漏洞概述
CVE ID | 时 间 | 2021-12-02 | |
类 型 | 权限提升 | 等 级 | 高危 |
远程利用 | 影响范围 | ||
攻击复杂度 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 已公开 | 在野利用 | 是 |
0x01 漏洞详情
近日，Microsoft Windows Installer中一个权限提升0day漏洞被正在被攻击者利用。该漏洞能够使攻击者提升权限并以管理员权限运行代码，影响了所有 Windows 版本，包括 Windows 11 和 Windows Server 2022，并且此漏洞的PoC/EXP已在互联网上公开。
11月9日，微软发布了CVE-2021-41379的安全更新，但修复并不完善。研究人员发现通过利用 Microsoft Edge Elevation Service 的自由访问控制列表 (DACL) 将系统上的任何可执行文件替换为 MSI 文件，可以导致攻击者以管理员身份运行代码。目前微软暂未发布此漏洞的补丁。
虽然该0day（目前暂无CVE ID）被多方引用为对CVE-2021-41379的绕过，但研究人员表示情况并非如此。该漏洞源于Windows Installer创建回滚文件（.RBF）的方式，该文件允许恢复安装过程中删除或修改的数据。如果在C:\Windows\Installer\Config.msi * 中创建RBF 文件，该文件随后会被移动到启动用户临时文件夹中的已知位置，而在该位置，文件的权限也会被修改，以授予用户写权限。可以通过创建符号链接来利用此漏洞，由于Windows Installer是作为本地系统运行的，任何可由本地系统写入的文件都可以被本地用户覆盖并成为可写入的文件。
12月2日，0patch平台发布了该漏洞的微补丁，以临时修复该漏洞。
影响范围
所有 Windows 版本
0x02 处置建议
在微软发布此漏洞的正式补丁之前，最好的防御措施是运行 0Patch 发布的临时补丁，它可以即时应用，且不需要重新启动机器。但0patch平台发布的临时补丁目前仅支持部分Windows版本：
Windows 10 v21H1 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v20H2 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v2004 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1909 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1903 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1809 (32 & 64 bit) updated with May 2021 Updates
Windows 10 v1803 (32 & 64 bit) updated with May 2021 Updates
Windows 10 v1709 (32 & 64 bit) updated with October 2020 Updates
Windows 7 ESU (32 & 64 bit) updated with November 2021 Updates
Windows Server 2019 updated with November 2021 Updates
Windows Server 2016 updated with November 2021 Updates
Windows Server 2012 R2 updated with November 2021 Updates
Windows Server 2012 updated with November 2021 Updates
Windows Server 2008 R2 ESU (32 & 64 bit) updated with November 2021 Updates
下载链接：
https://0patch.com/
0x03 参考链接
https://blog.0patch.com/2021/12/free-micropatches-for.html
https://github.com/klinix5/InstallerFileTakeOverPatch
https://blog.talosintelligence.com/2021/11/attackers-exploiting-zero-day.html
https://www.bleepingcomputer.com/news/security/windows-installerfiletakeover-zero-day-bug-gets-free-micropatch/
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-12-10 | 首次发布 |
0x05 关于我们
公司简介
启明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式挂牌上市，是国内最具实力的信息安全产品和安全管理平台、安全服务与解决方案的领航企业之一。
公司总部位于北京市中关村软件园，在全国各省、市、自治区设立分支机构六十多个，拥有覆盖全国的销售体系、渠道体系和技术支持体系；并在华北、华东、西南和华南布局四大研发中心，分别为北京研发总部、上海研发中心、成都研发中心和广州研发中心。
多年来，启明星辰致力于提供具有国际竞争力的自主创新的安全产品和最佳实践服务，帮助客户全面提升其IT基础设施的安全性和生产效能，为打造和提升国际化的民族信息安全产业领军品牌而不懈努力。
关于我们
启明星辰安全应急响应中心主要针对重要安全漏洞的预警、跟踪和分享全球最新的威胁情报和安全报告。
关注以下公众号，获取全球最新安全资讯：
京公网安备11010802024551号