通报：Windows Defender高危漏洞（CVE-2021-31985）或将成为定向攻击武器

7月8日，腾讯安全团队注意到Windows Defender远程代码执行漏洞（CVE-2021-31985）POC（概念验证代码）被放出。黑客利用该漏洞发起攻击，无须受攻击用户手动打开文件等危险操作，即可以系统最高权限运行恶意代码。因此，该漏洞的利用价值极高，或将成为专业黑客定向攻击的武器之一（内网用户可能关闭自动更新）。

在漏洞POC（概念验证代码）公开后，恶意攻击者可能很快开发出EXP（漏洞利用代码），意味着实际漏洞攻击已为期不远。因Windows Defender默认内置于所有主流Windows系统，该漏洞风险值得所有用户重视，腾讯安全专家建议用户使用Windows更新功能升级修复。

微软在2021年6月的安全更新中修复了一处Windows Defender远程代码执行漏洞（CVE-2021-31985），该漏洞源于输入验证不当，远程攻击者可利用该漏洞实现任意代码执行。

7月8日，Google Project Zero发布了该漏洞的细节。

Windows Defender是微软公司内置在Windows系统中的一款防病毒软件，在用户未安装其他安全软件时，默认会启用Windows Defender。

CVE-2021-31985

高危，严重级，CVSS评分8.8，官方补丁已于上月发布。

Windows Defender < 1.1.18200.3

Windows Defender >= 1.1.18200.3

腾讯安全专家对该漏洞进行了分析、复现验证。

该漏洞与CVE-2021-1647相似，同样发生在Windows Defender对ASProtect保护的PE文件的处理中。

注：ASProtect 是功能非常完善的加壳、加密保护工具，能够在对软件加壳的同时进行各种保护。

当Window Defender在解析 ASProtect加壳后的PE文件时，会尝试利用PE中包含的ASProtect的功能dll去做解包，但Window Defender并没有对该dll进行严格的校验，后续触发了整形溢出和越界写的漏洞，导致远程任意代码执行。

攻击者可构造特制的PE程序，投递到目标环境中触发漏洞，如发送至目标邮箱并携带恶意附件；或投递恶意链接诱使被攻击目标下载文件；或通过社交媒体工具向目标用户发送恶意文件；对于重要机构内网用户（自动更新可能关闭），攻击者还可能通过U盘投递等等。

因落地文件会触发Window Defender的防护功能自动检查，存在漏洞的系统会自动触发而无须手动打开等交互操作。

云上用户应小心攻击者通过上传接口投递恶意样本，该漏洞可在不需要运行恶意样本的情况下以system权限执行任意代码。

Windows系统中安装了第三方安全软件的用户不受影响，第三方安全软件会接管Windows Defender的安全防护功能，漏洞不会触发。

腾讯安全团队已验证poc有效性:

Defender在处理特殊的asprotect vmdll时触发整形溢出：

触发越界写：

微软已于2021年6月8日发布的当月安全更新中修复该漏洞，启用Windows Defender的用户应立即更新至安全版本。

操作步骤：
打开Windows 设置->“更新和安全“->选择 “Windows 安全中心”->选择“病毒和防护威胁”。

在窗口主中的病毒和威胁防护更新下，选择“检查更新”，再次选择“检查更新”。

在导航中，选择“设置”，然后选择“关于”，检查引擎版本号。Microsoft 恶意软件保护引擎版本为 1.1.18200.3 或更高版本的，表示漏洞已修复。

参考链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31985

本文始发于微信公众号（腾讯安全威胁情报中心）：通报：Windows Defender高危漏洞（CVE-2021-31985）或将成为定向攻击武器