Windows Installer 任意内容操纵权限提升 (CVE-2020-0911)

• 更改C:当前会话的映射会对该会话中的其他进程产生副作用，这可能会导致行为异常（并最终使会话无法使用）
• 与经常访问的目录中的大文件重定向相同，例如C:和C:Windows：这可能会在目标进程到达感兴趣的点之前中断目标进程，以及其他进程（如果它们受相同的设备映射的约束）
• 修改后的 MSI 文件不能与原始文件相差太大（仍需要匹配产品 ID 等），否则安装程序将出错并停止

• 在对象管理器中创建一个复制目标文件结构的目录结构：

• 使用对象目录和符号链接指向原始文件

• 使用对象符号链接将目标文件重定向到所需的文件

• 使用影子对象目录，以便对结构中其他文件的访问透明地回退到原始文件/文件夹

• 将全局设备映射应用于GLOBAL??所有当前（非目标）进程，以便它们不受重定向的影响
• 将会话的设备映射重定向到假目录结构

• 所有新进程都将具有“假”设备映射

• 触发目标进程

WinObj 显示带有安装程序链接的对象目录

bool SetProcessDeviceMap(HANDLE hDir, HANDLE hProc = GetCurrentProcess()) {    PROCESS_DEVICEMAP_INFORMATION DeviceMap = { hDir };    NTSTATUS status = NtSetInformationProcess(hProc,        ProcessDeviceMap,        &DeviceMap,        sizeof(DeviceMap));    return status == 0;}

$RegSymlink = [NtApiDotNet.NtKey]::CreateSymbolicLink("RegistryMachineSOFTWAREMicrosoftTracingaabcdefghijklmnop", $null, "REGISTRYMachineSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options")

HKLM:SOFTWAREMicrosoftTracingaabcdefghijklmnopWerFault.exe

HKLM:SOFTWAREMicrosoftDevDivVCServicing14.0RuntimeMinimum

• 查找并复制现有的 MSI 文件
• 创建指向目标注册表项和值的注册表项符号链接（注册表项Debugger的属性）Image File Execution OptionsWerFault.exe
• 修补二进制 MSI 文件以替换注册表项/条目路径、名称和值
• 将用户设备映射更改为重定向C:，C:Windows并C:WindowsInstaller通过对象目录和对象符号链接，并更改现有进程的设备映射，以便它们继续不受干扰地运行
• msiexec在 MSI 文件上运行C:WindowsInstaller（但由于重定向，将访问修改后的文件）
• 提升后的用户msiexec将使用伪造的 MSI 文件（相信它是可信的）并创建所需的注册表项
• 触发崩溃来执行WerFault.exe- 及其“调试器”又名有效负载 - 作为SYSTEM

补丁：

Microsoft 已发布补丁和通报。用户应通过常规渠道应用更新。

参考

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-0911

时间线

2020-05-29：初步报告发送给供应商

2020-05-29:供应商确认收到报告

2020-10-09：供应商发布修复和建议

2023-07-06：本文发表