【安全风险通告】CVE-2021-36934Windows 提权漏洞安全风险通告

风险通告

近日，奇安信CERT监测到微软紧急发布CVE-2021-36934 Windows 提权漏洞通告，目前该漏洞细节及POC已公开。由于对多个系统文件（包括安全帐户管理器 (SAM) 数据库）的访问控制列表 (ACL) 过于宽松，存在特权提升漏洞。成功利用此漏洞的攻击者可以使用 SYSTEM 权限运行任意代码。然后攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。经过身份认证的攻击者可利用此漏洞在目标设备上以SYSTEM 权限运行任意代码。鉴于此漏洞细节及POC已公开，建议客户尽快排查受影响机器并采用缓解措施。

当前漏洞状态

细节是否公开

PoC状态

EXP状态

在野利用

是

已公开

已公开

未知

漏洞描述

近日，奇安信CERT监测到微软紧急发布CVE-2021-36934 Windows 提权漏洞通告，目前该漏洞细节及POC已公开。由于对多个系统文件（包括安全帐户管理器 (SAM) 数据库）的访问控制列表 (ACL) 过于宽松，存在特权提升漏洞。成功利用此漏洞的攻击者可以使用 SYSTEM 权限运行任意代码。然后攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。经过身份认证的攻击者可利用此漏洞在目标设备上以SYSTEM 权限运行任意代码。

奇安信CERT已复现此漏洞，复现截图如下：

经测试，该EXP利用时需要开启系统保护，并且设置了系统还原点。如果Win10 C盘大于128G保护模式会默认开启，并进行还原点备份，EXP会从这个备份的卷影dump sam文件从而进行利用。从目前我们的测试来看，由于Windows Server没有授予BUILTIN\Users 对 c:\Windows\System32\config\SAM的读访问权限，此漏洞不影响Windows Server版本。客户可通过以下命令（需要使用管理员权限）查看vss卷影是否开启以排查受影响机器：

vssadmin list shadows

风险等级

奇安信 CERT风险评级为：高危

风险等级：蓝色（一般事件）

影响范围

微软在通告中指出，目前已确认此问题会影响 Windows 10 版本 1809 以及更新的操作系统。

处置建议

目前微软官方还未发布补丁，可采取以下缓解措施：

1、限制对 %windir%\system32\config 内容的访问

以管理员身份打开命令提示符或 Windows PowerShell，运行以下命令：icacls %windir%\system32\config\*.* /inheritance:e

2、删除卷影复制服务 (VSS) 卷影副本

删除限制访问 %windir%\system32\config 之前存在的任何系统还原点和卷影卷。创建一个新的系统还原点（如果需要）。

注意，变通办法的影响删除卷影副本可能会影响还原操作，包括使用第三方备份应用程序还原数据的能力。您必须限制访问并删除卷影副本以防止利用此漏洞。