Windows 中的一个新漏洞可以轻松获得管理员权限

时间:2021-11-25 11:08:27来源:
导读 在Windows 10、Windows 11和Windows Server中发现了一个新漏洞,该漏洞允许提升本地权限并获得管理员权限。它的漏洞利用已经发布在网络...

在Windows 10、Windows 11和Windows Server中发现了一个新漏洞,该漏洞允许提升本地权限并获得管理员权限。它的漏洞利用已经发布在网络上,借助该漏洞,已经侵入系统但访问权限有限的攻击者可以获得对设备的完全控制。该漏洞影响当前支持的所有 Windows 版本。

作为 2021 年 11 月星期二补丁的一部分,微软修补了一个 Windows Installer 权限提升漏洞,称为 CVE-2021-41379。此漏洞是由安全研究员 Abdelhamid Naceri 发现的,他在检查了 Microsoft 发布的补丁后找到了解决所提供的修复程序和新的、更强大的零日权限提升漏洞的方法。Naceri 昨天在 GitHub 上发布了针对新漏洞的实验性漏洞利用,并解释说它适用于所有受支持的 Windows 版本。

此外,Naceri 解释说,虽然组策略可以获得配置以阻止具有基本权限的用户使用 Windows Installer (MSI);新漏洞绕过此策略,无论如何都会起作用。BleepingComputer测试了 InstallerFileTakeOver 漏洞;并发现从一个测试账户获得SYSTEM级权限只用了几秒钟;具有标准权限。测试在 Windows 10 21H1 上进行,内部版本号为 19043.1348。

Naceri 表示,由于对微软软件漏洞赏金计划的减少感到失望,他公开披露了零日漏洞。雷德蒙德公司没有以任何方式对这种情况发表评论。他们可能会在下周二的补丁发布时修复该漏洞。

微软宣布开始分发 Windows 2021 年 11 月 10 日更新(21H2)。同时,开发者宣布,未来软件平台将每年进行一次重大更新。可以通过类似的方式向 Windows 11 提供更新。因此,Windows 10的下一个重大更新将仅在 2022 年下半年发布,而不是像以前那样在 5 月至 6 月发布。

“我们正在转向新的Windows 10更新计划,以跟上 Windows 11 的步伐;它专注于每年获得功能更新。下一个 Windows 10 功能更新将于 2022 年下半年推出。我们将继续支持至少一个版本的 Windows 10,直到 2025 年 10 月 14 日;” 微软在一份声明中表示。

标签: