【误差通告】Windows Installer提权0day获得非官方补丁
宣布时间 2021-12-100x00 误差概述
CVE ID | 时 间 | 2021-12-02 | |
类 型 | 权限提升 | 等 级 | 高危 |
远程使用 | 影响规模 | ||
攻击重漂后 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 已果真 | 在野使用 | 是 |
0x01 误差详情
克日 ，Microsoft Windows Installer中一个权限提升0day误差被正在被攻击者使用。该误差能够使攻击者提升权限并以管理员权限运行代码 ，影响了所有 Windows 版本 ，包括 Windows 11 和 Windows Server 2022 ，并且此误差的PoC/EXP已在互联网上果真。
11月9日 ，微软宣布了CVE-2021-41379的清静更新 ，但修复并不完善。研究职员发明通过使用 Microsoft Edge Elevation Service 的自由会见控制列表 (DACL) 将系统上的任何可执行文件替换为 MSI 文件 ，可以导致攻击者以管理员身份运行代码。现在微软暂未宣布此误差的补丁。
虽然该0day（现在暂无CVE ID）被多方引用为对CVE-2021-41379的绕过 ，但研究职员体现情形并非云云。该误差源于Windows Installer建设回滚文件（.RBF）的方法 ，该文件允许恢复装置历程中删除或修改的数据。若是在C:\Windows\Installer\Config.msi * 中建设RBF 文件 ，该文件随后会被移动到启动用户暂时文件夹中的已知位置 ，而在该位置 ，文件的权限也会被修改 ，以授予用户写权限�？梢酝üㄉ璺帕唇永词褂么宋蟛� ，由于Windows Installer是作为外地系统运行的 ，任何可由外地系统写入的文件都可以被外地用户笼罩并成为可写入的文件。
12月2日 ，0patch平台宣布了该误差的微补丁 ，以暂时修复该误差。
影响规模
所有 Windows 版本
0x02 处置惩罚建议
在微软宣布此误差的正式补丁之前 ，最好的防御步伐是运行 0Patch 宣布的暂时补丁 ，它可以即时应用 ，且不需要重新启念头械。但0patch平台宣布的暂时补丁现在仅支持部分Windows版本：
Windows 10 v21H1 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v20H2 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v2004 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1909 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1903 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1809 (32 & 64 bit) updated with May 2021 Updates
Windows 10 v1803 (32 & 64 bit) updated with May 2021 Updates
Windows 10 v1709 (32 & 64 bit) updated with October 2020 Updates
Windows 7 ESU (32 & 64 bit) updated with November 2021 Updates
Windows Server 2019 updated with November 2021 Updates
Windows Server 2016 updated with November 2021 Updates
Windows Server 2012 R2 updated with November 2021 Updates
Windows Server 2012 updated with November 2021 Updates
Windows Server 2008 R2 ESU (32 & 64 bit) updated with November 2021 Updates
下载链接：
https://0patch.com/
0x03 参考链接
https://blog.0patch.com/2021/12/free-micropatches-for.html
https://github.com/klinix5/InstallerFileTakeOverPatch
https://blog.talosintelligence.com/2021/11/attackers-exploiting-zero-day.html
https://www.bleepingcomputer.com/news/security/windows-installerfiletakeover-zero-day-bug-gets-free-micropatch/
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-12-10 | 首次宣布 |
0x05 关于尊龙凯官网入口
尊龙凯官网入口简介
尊龙凯官网入口公司建设于1996年 ，并于2010年6月23日在深交所中小板正式挂牌上市 ，是海内最具实力的信息清静产品和清静管理平台、清静服务与解决计划的领航企业之一。
公司总部位于北京市中关村软件园 ，在天下各省、市、自治区设立分支机构六十多个 ，拥有笼罩天下的销售系统、渠道系统和手艺支持系统 ；并在华北、华东、西南和华南结构四大研发中心 ，划分为北京研发总部、上海研发中心、成都研发中心和广州研发中心。
多年来 ，尊龙凯官网入口致力于提供具有国际竞争力的自主立异的清静产品和最佳实践服务 ，资助客户周全提升其IT基础设施的清静性和生产效能 ，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。
关于尊龙凯官网入口
尊龙凯官网入口清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。
关注以下公众号 ，获取全球最新清静资讯：
京公网安备11010802024551号