【漏洞通告】Windows Installer提权0day获得非官方补丁
宣布时间 2021-12-100x00 漏洞概述
CVE ID | 时 间 | 2021-12-02 | |
类 型 | 权限提升 | 等 级 | 高危 |
远程利用 | 影响范围 | ||
攻击庞大度 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 已果然 | 在野利用 | 是 |
0x01 漏洞详情
近日 ，Microsoft Windows Installer中一个权限提升0day漏洞被正在被攻击者利用 。该漏洞能够使攻击者提升权限并以管理员权限运行代码 ，影响了所有 Windows 版本 ，包罗 Windows 11 和 Windows Server 2022 ，而且此漏洞的PoC/EXP已在互联网上果然 。
11月9日 ，微软宣布了CVE-2021-41379的宁静更新 ，但修复并不完善 。研究人员发现通过利用 Microsoft Edge Elevation Service 的自由访问控制列表 (DACL) 将系统上的任何可执行文件替换为 MSI 文件 ，可以导致攻击者以管理员身份运行代码 。目前微软暂未宣布此漏洞的补丁 。
虽然该0day（目前暂无CVE ID）被多方引用为对CVE-2021-41379的绕过 ，但研究人员体现情况并非如此 。该漏洞源于Windows Installer创建回滚文件（.RBF）的方式 ，该文件允许恢复安装过程中删除或修改的数据 。如果在C:\Windows\Installer\Config.msi * 中创建RBF 文件 ，该文件随后会被移动到启动用户临时文件夹中的已知位置 ，而在该位置 ，文件的权限也会被修改 ，以授予用户写权限 �？梢酝ü唇ǚ帕唇永蠢么寺┒� ，由于Windows Installer是作为当地系统运行的 ，任何可由当地系统写入的文件都可以被当地用户笼罩并成为可写入的文件 。
12月2日 ，0patch平台宣布了该漏洞的微补丁 ，以临时修复该漏洞 。
影响范围
所有 Windows 版本
0x02 处置建议
在微软宣布此漏洞的正式补丁之前 ，最好的防御措施是运行 0Patch 宣布的临时补丁 ，它可以即时应用 ，且不需要重新启动机器 。但0patch平台宣布的临时补丁目前仅支持部门Windows版本：
Windows 10 v21H1 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v20H2 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v2004 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1909 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1903 (32 & 64 bit) updated with November 2021 Updates
Windows 10 v1809 (32 & 64 bit) updated with May 2021 Updates
Windows 10 v1803 (32 & 64 bit) updated with May 2021 Updates
Windows 10 v1709 (32 & 64 bit) updated with October 2020 Updates
Windows 7 ESU (32 & 64 bit) updated with November 2021 Updates
Windows Server 2019 updated with November 2021 Updates
Windows Server 2016 updated with November 2021 Updates
Windows Server 2012 R2 updated with November 2021 Updates
Windows Server 2012 updated with November 2021 Updates
Windows Server 2008 R2 ESU (32 & 64 bit) updated with November 2021 Updates
下载链接：
https://0patch.com/
0x03 参考链接
https://blog.0patch.com/2021/12/free-micropatches-for.html
https://github.com/klinix5/InstallerFileTakeOverPatch
https://blog.talosintelligence.com/2021/11/attackers-exploiting-zero-day.html
https://www.bleepingcomputer.com/news/security/windows-installerfiletakeover-zero-day-bug-gets-free-micropatch/
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-12-10 | 首次宣布 |
0x05 关于抖圈为赌而生
抖圈为赌而生简介
抖圈为赌而生公司建立于1996年 ，并于2010年6月23日在深交所中小板正式挂牌上市 ，是国内最具实力的信息宁静产物和宁静管理平台、宁静服务与解决方案的领航企业之一 。
公司总部位于北京市中关村软件园 ，在全国各省、市、自治区设立分支机构六十多个 ，拥有笼罩全国的销售体系、渠道体系和技术支持体系；并在华北、华东、西南和华南结构四大研发中心 ，分别为北京研发总部、上海研发中心、成都研发中心和广州研发中心 。
多年来 ，抖圈为赌而生致力于提供具有国际竞争力的自主创新的宁静产物和最佳实践服务 ，资助客户全面提升其IT基础设施的宁静性和生产效能 ，为打造和提升国际化的民族信息宁静工业领军品牌而不懈努力 。
关于抖圈为赌而生
抖圈为赌而生宁静应急响应中心主要针对重要宁静漏洞的预警、跟踪和分享全球最新的威胁情报和宁静陈诉 。
关注以下公众号 ，获取全球最新宁静资讯：
京公网安备11010802024551号