Windows Installer组件0day误差

宣布时间 2021-02-01

0x00 误差概述

CVE  ID


时   间

2021-02-01

类  型

权限提升

等   级

高危

远程使用

否

影响规模

Windows 7- Windows 10

 

0x01 误差详情

image.png

简述

Windows Installer是Windows中的一个组件，它是专门用来管理和设置软件服务的工具。

2020年10月，Microsoft修复了Windows Installer组件中的一个误差（CVE-2020-16902，其CVSS评分7.8。该误差曾被多次修复、绕过，历史追踪为CVE-2019-1415、CVE-2020-1302和CVE-2020-0814），但该误差的修复程序仍可被绕过。12月下旬，该误差的PoC被果真。Microsoft一直没有完全修复此误差。

克日，Microsoft多次实验修复的Windows Installer组件误差（CVE-2020-16902补丁的绕过） 获得了一个暂时补丁，该补丁能够阻止攻击者使用误差获取目的系统的最高权限。


误差剖析

在装置MSI软件包的历程中，Windows Installer会通过“ msiexec.exe”建设回滚剧本，以便在历程中泛起过失时还原所有更改。

具有外地权限的攻击者若是可以用一个改变注册表值来指向他们的Payload的脚原来替换回滚剧本，则可以运行具有SYSTEM权限的可执行文件。

 

误差复现

该误差的PoC中使用的是回滚剧本，它将HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/services/Fax/ImagePath的值更改为c:\Windows/tempasmae.exe，导致传真服务启动时使用攻击者的asmae.exe。之以是使用该服务，是由于任何用户都可以启动该服务，并且该服务以外地系统的身份运行。

该误差的微补丁程序通过阻止外地非管理员用户修改指向传真服务可执行文件的注册表值来避免攻击者运行代码。PoC复现如下：

image.png

 

0Patch的暂时补丁适用于以下系统：

Windows 10 v20H2 32/64位，已于2021年1月更新

Windows 10 v2004 32/64位，于2021年1月更新

Windows 10 v1909 32/64位，已于2021年1月更新

Windows 7、32/64位和ESU，于2021年1月更新

Windows 7、32/64位（不带ESU），已于2020年1月更新

 

 

0x02 处置惩罚建议

在Microsoft宣布永世补丁之前，可以通过0Patch平台下载暂时补丁。

下载链接：

https://blog.0patch.com/2021/01/windows-installer-local-privilege.html

 

0x03 参考链接

https://blog.0patch.com/2021/01/windows-installer-local-privilege.html

https://www.bleepingcomputer.com/news/security/windows-installer-zero-day-vulnerability-gets-free-micropatch/

https://halove23.blogspot.com/2020/12/oh-so-you-have-antivirus-nameevery-bug.html

 

0x04 时间线

2021-01-28  0Patch宣布暂时补丁

2021-02-01  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png