高危!Windows Installer权限提升漏洞风险通告,腾讯电脑管家率先支持检测拦截

2021-12-01 来源:原创 作者:腾讯电脑管家
【文章摘要】腾讯安全注意到WindowsInstaller权限提升漏洞Exp在互联网上公开。此漏洞为MicrosoftWindowsInstaller(CVE-2021-41379)漏洞修复补丁的绕过,该漏洞暂无补丁,为0day状态。腾讯安全专家已验证网上公开的该0day漏洞EXP(漏洞利用代码)可用,这意味着网络黑产利用将为期不远。

 腾讯安全注意到Windows Installer 权限提升漏洞Exp在互联网上公开,此漏洞为Microsoft Windows Installer(CVE-2021-41379)漏洞修复补丁的绕过,该漏洞暂无补丁,为0day状态。腾讯安全专家已验证网上公开的该0day 漏洞EXP(漏洞利用代码)可用,这意味着网络黑产利用将为期不远。

漏洞描述:

该漏洞是安全研究员 Abdelhamid Naceri 发现的,他在检查微软的修复后发现了一个绕过补丁和一个更强大的新0day特权提升漏洞。Naceri 在GitHub上发布了新0day漏洞的POC/EXP,解释说适用于所有受支持的 Windows 版本。

“这个变种是在分析 CVE-2021-41379 补丁期间发现的。该错误没有被正确修复,而不是放弃绕过。”Naceri 在他的文章中解释道。虽然可以配置组策略以防止“标准”用户执行 MSI 安装程序操作,但他的0day可以绕过此策略并且无论如何都会起作用。
 
该漏洞利用程序通过覆盖Microsoft Edge提升服务(elevation_service.exe)DACL,将自身复制到elevation_service.exe并执行以获得提升的权限。腾讯安全专家验证公开的漏洞利用程序,证实确实可以获得system权限,没有安装edge的服务器系统,不受原始exp影响。

有国外安全研究者称,已发现在野利用该漏洞的恶意样本。微软要修复该漏洞,常规时间会是12月份的补丁星期二,尚有两周空档期,目前暂不清楚微软会不会提前发布补丁。

 

漏洞编号

暂无

 

漏洞等级

高危,可以本地提权获得system权限

 

漏洞状态



受影响的版本

该漏洞影响所有受支持的 Windows 版本,包括 Windows 10、Windows 11 和 Windows Server 2022

 

漏洞修复方案

该漏洞目前仍为0day状态,暂时没有官方补丁修复,且已有恶意样本被检测到。腾讯安全专家建议Windows用户近期应小心处理来历不明的未知文件或文档,避免不慎点击风险文件而中招。

 

缓解方案:关闭MicrosoftEdgeElevationService服务,可以缓解风险。

 

操作步骤

Win+Q快捷键,在搜索框输入“服务”,然后以管理员权限运行,在服务列表中,找到“MicrosoftEdgeElevationService服务”,将启动类型改为“禁用”。





腾讯安全解决方案:

腾讯零信任iOA已支持检测该漏洞的恶意利用。


腾讯电脑管家已支持检测拦截该漏洞的恶意利用




参考链接:

https://www.bleepingcomputer.com/news/security/malware-now-trying-to-exploit-new-windows-installer-zero-day/


电脑管家 V16

全新上线 更轻更快