通报:Windows Defender高危漏洞(CVE-2021-31985)或将成为定向攻击武器

  • A+
所属分类:安全漏洞

7月8日,腾讯安全团队注意到Windows Defender远程代码执行漏洞(CVE-2021-31985)POC(概念验证代码)被放出。黑客利用该漏洞发起攻击,无须受攻击用户手动打开文件等危险操作,即可以系统最高权限运行恶意代码。因此,该漏洞的利用价值极高,或将成为专业黑客定向攻击的武器之一(内网用户可能关闭自动更新)。

在漏洞POC(概念验证代码)公开后,恶意攻击者可能很快开发出EXP(漏洞利用代码),意味着实际漏洞攻击已为期不远。因Windows Defender默认内置于所有主流Windows系统,该漏洞风险值得所有用户重视,腾讯安全专家建议用户使用Windows更新功能升级修复。


1

漏洞描述


微软在2021年6月的安全更新中修复了一处Windows Defender远程代码执行漏洞(CVE-2021-31985),该漏洞源于输入验证不当,远程攻击者可利用该漏洞实现任意代码执行。

7月8日,Google Project Zero发布了该漏洞的细节。

Windows Defender是微软公司内置在Windows系统中的一款防病毒软件,在用户未安装其他安全软件时,默认会启用Windows Defender。


2

漏洞编号


CVE-2021-31985


3

漏洞等级

高危,严重级,CVSS评分8.8,官方补丁已于上月发布。


4

受影响的版本


Windows Defender < 1.1.18200.3


5安全版本


Windows Defender >= 1.1.18200.3


6

漏洞分析、复现验证


腾讯安全专家对该漏洞进行了分析、复现验证。

该漏洞与CVE-2021-1647相似,同样发生在Windows Defender对ASProtect保护的PE文件的处理中。

注:ASProtect 是功能非常完善的加壳、加密保护工具,能够在对软件加壳的同时进行各种保护。

当Window Defender在解析 ASProtect加壳后的PE文件时,会尝试利用PE中包含的ASProtect的功能dll去做解包,但Window Defender并没有对该dll进行严格的校验,后续触发了整形溢出和越界写的漏洞,导致远程任意代码执行。

攻击者可构造特制的PE程序,投递到目标环境中触发漏洞,如发送至目标邮箱并携带恶意附件;或投递恶意链接诱使被攻击目标下载文件;或通过社交媒体工具向目标用户发送恶意文件;对于重要机构内网用户(自动更新可能关闭),攻击者还可能通过U盘投递等等。


因落地文件会触发Window Defender的防护功能自动检查,存在漏洞的系统会自动触发而无须手动打开等交互操作。

云上用户应小心攻击者通过上传接口投递恶意样本,该漏洞可在不需要运行恶意样本的情况下以system权限执行任意代码。

Windows系统中安装了第三方安全软件的用户不受影响,第三方安全软件会接管Windows Defender的安全防护功能,漏洞不会触发。

腾讯安全团队已验证poc有效性:

Defender在处理特殊的asprotect vmdll时触发整形溢出:

通报:Windows Defender高危漏洞(CVE-2021-31985)或将成为定向攻击武器


触发越界写:

通报:Windows Defender高危漏洞(CVE-2021-31985)或将成为定向攻击武器


7

漏洞修复建议


微软已于2021年6月8日发布的当月安全更新中修复该漏洞,启用Windows Defender的用户应立即更新至安全版本。

操作步骤:
打开Windows 设置->“更新和安全“->选择 “Windows 安全中心”->选择“病毒和防护威胁”。

在窗口主中的病毒和威胁防护更新下,选择“检查更新”,再次选择“检查更新”。

在导航中,选择“设置”,然后选择“关于”,检查引擎版本号。Microsoft 恶意软件保护引擎版本为 1.1.18200.3 或更高版本的,表示漏洞已修复。


参考链接:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31985

本文始发于微信公众号(腾讯安全威胁情报中心):通报:Windows Defender高危漏洞(CVE-2021-31985)或将成为定向攻击武器

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: