风险通告
近日，奇安信CERT监测到微软紧急发布CVE-2021-36934 Windows 提权漏洞通告，目前该漏洞细节及POC已公开。由于对多个系统文件（包括安全帐户管理器 (SAM) 数据库）的访问控制列表 (ACL) 过于宽松，存在特权提升漏洞。成功利用此漏洞的攻击者可以使用 SYSTEM 权限运行任意代码。然后攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。经过身份认证的攻击者可利用此漏洞在目标设备上以SYSTEM 权限运行任意代码。鉴于此漏洞细节及POC已公开，建议客户尽快排查受影响机器并采用缓解措施。
当前漏洞状态
|
细节是否公开 |
PoC状态 |
EXP状态 |
在野利用 |
|
是 |
已公开 |
已公开 |
未知 |
奇安信CERT已复现此漏洞，复现截图如下：
经测试，该EXP利用时需要开启系统保护，并且设置了系统还原点。如果Win10 C盘大于128G保护模式会默认开启，并进行还原点备份，EXP会从这个备份的卷影dump sam文件从而进行利用。从目前我们的测试来看，由于Windows Server没有授予BUILTINUsers 对 c:WindowsSystem32configSAM的读访问权限，此漏洞不影响Windows Server版本。客户可通过以下命令（需要使用管理员权限）查看vss卷影是否开启以排查受影响机器：
vssadmin list shadows
微软在通告中指出，目前已确认此问题会影响 Windows 10 版本 1809 以及更新的操作系统。
1、限制对 %windir%system32config 内容的访问
以管理员身份打开命令提示符或 Windows PowerShell，运行以下命令：icacls %windir%system32config*.* /inheritance:e
2、删除卷影复制服务 (VSS) 卷影副本
删除限制访问 %windir%system32config 之前存在的任何系统还原点和卷影卷。创建一个新的系统还原点（如果需要）。
注意，变通办法的影响删除卷影副本可能会影响还原操作，包括使用第三方备份应用程序还原数据的能力。您必须限制访问并删除卷影副本以防止利用此漏洞。
2021年7月21日，奇安信 CERT发布安全风险通告
本文始发于微信公众号（奇安信 CERT）：【安全风险通告】CVE-2021-36934Windows 提权漏洞安全风险通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论