Windows Installer权限提升漏洞（0day）风险通告，腾讯零信任iOA率先支持检测拦截
长按二维码关注
腾讯安全威胁情报中心
腾讯安全攻防团队A&D Team
腾讯安全 企业安全运营团队
腾讯安全能力运营团队
腾讯安全注意到Windows Installer权限提升漏洞Exp在互联网上公开。此漏洞为Microsoft Windows Installer（CVE-2021-41379）漏洞修复补丁的绕过，该漏洞暂无补丁，为0day状态。
腾讯安全专家已验证网上公开的该0day 漏洞EXP（漏洞利用代码）可用，这意味着网络黑产利用已为期不远。
1漏洞详情
该漏洞是安全研究员 Abdelhamid Naceri发现的，他在检查微软的修复后发现了一个绕过补丁和一个更强大的新0day特权提升漏洞。Naceri 在GitHub上发布了新0day漏洞的POC/EXP，解释说适用于所有受支持的 Windows 版本。
“这个变种是在分析CVE-2021-41379补丁期间发现的。该错误没有被正确修复，而不是放弃绕过。”Naceri在他的文章中解释道。虽然可以配置组策略以防止“标准”用户执行 MSI 安装程序操作，但他的0day可以绕过此策略并且无论如何都会起作用。
该漏洞利用程序通过覆盖Microsoft Edge提升服务（elevation_service.exe）DACL，将自身复制到elevation_service.exe并执行以获得提升的权限。
腾讯安全专家验证公开的漏洞利用程序，证实确实可以获得system权限，没有安装Edge的服务器系统，不受原始exp影响。
有国外安全研究者称，已发现在野利用该漏洞的恶意样本。
微软要修复该漏洞，常规时间会是12月份的补丁星期二，尚有两周空档期，目前暂不清楚微软会不会提前发布补丁。
2漏洞编号
暂无
3漏洞等级
高危，可以本地提权获得system权限。
漏洞状态：
漏洞细节 | 漏洞PoC | 漏洞EXP | 在野利用 |
未知 | 已公开 | 已公开 | 已存在 |
4受影响的版本
该漏洞影响所有受支持的 Windows 版本，包括 Windows 10、Windows 11 和 Windows Server 2022。
5漏洞修复建议
该漏洞目前仍为0day状态，暂时没有官方补丁修复，且已有恶意样本被检测到。腾讯安全专家建议Windows用户近期应小心处理来历不明的未知文件或文档，避免不慎点击风险文件而中招。
缓解方案：关闭MicrosoftEdgeElevationService服务，可以缓解风险。
操作步骤：
Win+Q快捷键，在搜索框输入“服务”，然后以管理员权限运行，在服务列表中，找到“MicrosoftEdgeElevationService服务”，将启动类型改为“禁用”。
6腾讯安全解决方案
腾讯T-Sec零信任iOA已支持检测Windows Installer权限提升漏洞的恶意攻击。
参考链接：
https://www.bleepingcomputer.com/news/security/malware-now-trying-to-exploit-new-windows-installer-zero-day/
关于腾讯安全威胁情报中心
腾讯安全威胁情报中心是一个涵盖全球多维数据的情报分析、威胁预警分析平台。依托顶尖安全专家团队支撑，帮助安全分析人员、安全运维人员快速、准确地对可疑威胁事件进行预警、处置和溯源分析。
长按识别二维码获取第一手威胁情报