【缝隙公告】 Microsoft Windows PsExec 0day缝隙
颁布功夫 2021-01-080x00 缝隙概述
CVE ID | 时 间 | 2021-01-08 | |
类 型 | LPE | 等 级 | 高危 |
远程利用 | 否 | 影响领域 | PsExec v1.72-v2.2 |
0x01 缝隙详情
PsExec是SysInternals套件的一部门 ，它是系统治理员的一种工具 ，可在推算机客户端远程执行利用法式。
2020年12月09日 ，PsExec被披露存在一个本地权限提升0day缝隙 ，该缝隙被定名为管路劫持（或定名管路占用）缝隙 ，该缝隙允许攻击者诱使PsExec沉新打开恶意创建的定名管路并授予其本地系统权限。成功利用此缝隙后 ，攻击者将可能以本地系统的身份执行肆意过程 ，从而节造整个推算机。
有关钻研人员暗示 ，该缝隙影响PsExec版本从1.72到最新版本2.2 ，这意味着该缝隙已经存在约莫14年了。
缝隙细节
PsExec蕴含一个名为“PSEXESVC”的嵌入式资源 ，它是一个可执行的服务级别组件 ，每当PsExec客户机以远程机械为指标执行PsExec时 ，该组件就会作为SYSTEM被提取、复造到远程机械上并执行。PsExec客户端和远程PSEXESVC服务之间的通讯通过定名管路进行。具体来说 ，名为“\PSEXESVC”的管路掌管解析和执行PsExec客户端的号令 ，好比“要执行哪个利用法式”、“有关号令行数据”等。
当然 ，出于安全原因 ，PSEXESVC服务的“\PSEXESVC”管路受到� ；� ，仅允许治理员进行读/写接见。
但是 ，通过管路抢注（即起初创建管路的步骤） ，低权限利用法式能够接见该管路。也就是说 ，若是本地低权限利用法式在执行PSEXESVC之前创建了“\PSEXESVC”定名管路 ，则PSEXESVC将获取现有事俘的句柄 ，而不是创建定名管路 ，这将产生一些意料之表的后果 ，稍后将看到。下面展示了PSEXESVC若何创建“\PSEXESVC”管路的反汇编：
在这里 ，从nMaxInstances参数能够看到 ，它允许存在无限的“\PSEXESVC”管路事俘。此表 ，它并不能确保它是第一个创建“\PSEXESVC”管路的利用法式 ，并且通常使用FILE_FLAG_FIRST_PIPE_INSTANCE标志来实现。在这种情况下 ，它将尝试创建定名管路 ，若是定名管路已经存在 ，则只需在挪用后获取现佑装\PSEXESVC”管路的句柄即可 ，这将继承现有管路的ACL。
以下 ，通过造作了一个单一的“ PipeHijack.exe”法式 ，该法式创建了“\PSEXESVC”管路 ，该管路拥有对“ David Wells”用户的读/写接见权限。
运行后 ，若是将来在本机上本地或远程执行PsExec ，PSEXESVC事俘将获得管路的句柄 ，并能够读取/写入该句柄 ，从而允许低权限利用法式与此PSEXESVC系统服务通讯。
PoC链接：
https://github.com/tenable/poc/blob/master/Microsoft/Sysinternals/PsExecEscalate.cpp
0x02 措置建议
目前 ，Microsoft暂未颁布此缝隙的安全更新 ，但 0patch团队已经颁布了此缝隙的微补丁。
下载链接：
https://blog.0patch.com/2021/01/local-privilege-escalation-0day-in.html
0x03 参考链接
https://www.bleepingcomputer.com/news/security/windows-psexec-zero-day-vulnerability-gets-a-free-micropatch/
https://medium.com/tenable-techblog/psexec-local-privilege-escalation-2e8069adc9c8
0x04 功夫线
2020-12-09 David Wells披露缝隙
2021-01-07 0patch团队颁布微补丁
2021-01-08 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号