等保门户网: 测评整改

0day漏洞影响启用 Sandbox 的多数 Windows 10 版本

来源:admin 发布日期:2020-09-15

最近逆向工程师在多数 Windows 10 版本中发现了一个0day 漏洞,可导致攻击者在操作系统的受限区域创建文件。该漏洞易于利用,攻击者在目标主机上实施初次感染后即可发动攻击,不过它仅适用于启用了 Hyper-V 功能的机器。
易遭利用的提权漏洞
逆向工程师展示说明了低权限用户如何可以在‘system32’中创建任意文件。该区域是一个受限制的文件夹,托管着Windows 操作系统和已安装软件的重要文件。
不过只有在启用 Hyper-V 的情况下该漏洞才可遭利用,由于该选项默认关闭且存在于 Windows 10 Pro、Enterprise 和 Education 版本中,因此攻击面得到控制。
Hyper-V 是微软在 Windows 10 创建虚拟机的解决方案。根据主机上可用的物理资源,它至少可以运行三个虚拟实例。鉴于硬件资源重组,Hyper-V能够运行具有32个处理器和内存为512M的大型虚拟机。对于普通用户而言,这个虚拟机的用户可能不大,但他们可以运行 Windows Sandbox。该隔离环境是为了执行不受信任的程序或加载不受信任的网站,使得Windows 操作系统免遭感染。
微软在Windows 10 版本1093于5月29日 Update 中引入 Windows Sandbox。开启该功能会自动启用 Hyper-V。
为了展示该漏洞,逆向工程师在 \system32 中创建了一个名为“phoneinfo.dll”的空文件夹。在这个位置做出的任何修改都要求权限提升,但如果启用了 Hyper-V,则这些限制条件失去作用。
由于文件的创建人也是所有人,因此攻击者可借此置入恶意代码,在必要时以提升后的权限执行恶意代码。
CERT/CC 漏洞分析师 Will Dormann 证实了该漏洞的存在,并表示攻击者不费吹灰之力即可利用该漏洞。
逆向工程师指出,易受攻击的组件是“storvsp.sys”(Storage VSP-Virtualization Service Porvider),它是一个服务器端 Hyper-V 组件。
来源:BLEEPINGCOMPUTER

【关闭】 【打印】

您是第 43857383 位访问者
沪ICP备 12039260号 京公网安备 11010802025578号