奇安信CERT
致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。
公用日志文件系统 (CLFS) 是一种通用日志记录服务，可在用户模式或内核模式下运行的软件客户端使用。
近日，奇安信CERT监测到Windows 通用日志文件系统驱动程序权限提升漏洞(CVE-2023-28252)，由于Windows进行基本日志文件操作时存在越界写入，本地攻击者可利用此漏洞获得对内核的读写权限，从而将自身权限提升至SYSTEM。目前已发现此漏洞的在野利用，同时奇安信红雨滴团队已成功复现此漏洞。鉴于此漏洞影响较大，建议客户尽快做好自查及防护。
|
漏洞名称
|
Windows 通用日志文件系统驱动程序权限提升漏洞
|
|
公开时间
|
2023-04-11
|
更新时间
|
2023-04-12
|
|
CVE编号
|
CVE-2023-28252
|
其他编号
|
QVD-2023-8752
|
|
威胁类型
|
权限提升
|
技术类型
|
越界读写
|
|
厂商
|
Microsoft
|
产品
|
Windows
|
|
风险等级
|
|
奇安信CERT风险评级
|
风险等级
|
|
高危
|
蓝色（一般事件）
|
|
现时威胁状态
|
|
POC状态
|
EXP状态
|
在野利用状态
|
技术细节状态
|
|
未公开
|
未公开
|
已发现
|
未公开
|
|
漏洞描述
|
当Windows进行基本日志文件操作时可能存在越界写入，本地攻击者可利用该漏洞修改内核指针，获得对内核的读写权限，从而将自身权限提升至SYSTEM。
|
|
影响版本
|
Windows 11 Version 22H2 for x64-based Systems
Windows 10 for 32-bit Systems
Windows 10 Version 22H2 for 32-bit Systems
Windows 10 Version 22H2 for ARM64-based Systems
Windows 10 Version 22H2 for x64-based Systems
Windows Server 2016 (Server Core installation)
Windows 11 Version 22H2 for ARM64-based Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 20H2 for x64-based Systems
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2016
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows 10 Version 21H2 for 32-bit Systems
Windows 11 version 21H2 for ARM64-based Systems
Windows 11 version 21H2 for x64-based Systems
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
|
|
其他受影响组件
|
无
|
目前，奇安信红雨滴团队已成功复现Windows 通用日志文件系统驱动程序权限提升漏洞(CVE-2023-28252)，截图如下：
![【已复现】Windows 通用日志文件系统驱动程序权限提升漏洞安全风险通告]( "【已复现】Windows 通用日志文件系统驱动程序权限提升漏洞安全风险通告")
|
漏洞名称
|
Windows 通用日志文件系统驱动程序权限提升漏洞
|
|
CVE编号
|
CVE-2023-28252
|
其他编号
|
QVD-2023-8752
|
|
CVSS 3.1评级
|
高危
|
CVSS 3.1分数
|
7.8
|
|
CVSS向量
|
访问途径（AV）
|
攻击复杂度（AC）
|
|
本地
|
低
|
|
用户认证（Au）
|
用户交互（UI）
|
|
低权限
|
不需要
|
|
影响范围（S）
|
机密性影响（C）
|
|
不改变
|
高
|
|
完整性影响（I）
|
可用性影响（A）
|
|
高
|
高
|
|
危害描述
|
本地用户可利用此漏洞将自身权限提升至SYSTEM权限。
|
使用奇安信天擎的客户可以通过奇安信天擎控制台一键更新修补相关漏洞，也可以通过奇安信天擎客户端一键更新修补相关漏洞。
也可以采用以下官方解决方案及缓解方案来防护此漏洞：
Windows自动更新
Windows系统默认启用 Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：
1、点击“开始菜单”或按Windows快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows更新”（Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”-> “系统和安全”->“Windows更新”）
3、选择“检查更新”，等待系统将自动检查并下载可用更新
系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。
手动安装补丁
另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的4月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2023-Apr
奇安信天擎终端安全管理系统解决方案
奇安信天擎终端安全管理系统并且有漏洞修复相关模块的用户，可以将补丁库版本更新到：2023.04.12.1及以上版本，对内网终端进行补丁更新。
推荐采用自动化运维方案，如果控制中心可以连接互联网的用户场景，建议设置为自动从奇安信云端更新补丁库至2022.04.12.1版本。
控制中心补丁库更新方式：每天04:00-06:00自动升级，升级源为从互联网升级。
纯隔离网内控制中心不能访问互联网，不能下载补丁库和补丁文件，需使用离线升级工具定期导入补丁库和文件到控制中心。
[1]https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28252
2023年4月12日，奇安信 CERT发布安全风险通告。
点击阅读原文
到奇安信NOX-安全监测平台查询更多漏洞详情
深度分析报告（含PoC和技术细节）已开通订阅
↓ ↓ ↓ 向下滑动图片扫码申请↓ ↓ ↓
原文始发于微信公众号（奇安信 CERT）：【已复现】Windows 通用日志文件系统驱动程序权限提升漏洞安全风险通告
评论