【已复现】Windows NTLM权限提升漏洞(CVE-2023-21746)安全风险通告
奇安信CERT
致力于第一时间为企业级用户提供安全风险通告和有效解决方案。
安全通告
NTLM (NT LAN Manager)是 telnet 的一种验证身份方式，即问询/应答身份验证协议。NTLM是Windows早期安全协议，因向后兼容性而保留下来，被广泛应用于Windows系列产品中。
近日，奇安信CERT监测到Windows NTLM 权限提升漏洞(CVE-2023-21746)技术细节、PoC、EXP在互联网上公开，国外研究人员将其称为“LocalPotato”。Windows NTLM 在进行身份验证时存在漏洞，允许拥有低权限的本地攻击者通过运行特制程序将权限提升至SYSTEM。奇安信CERT已复现此漏洞，经验证，此PoC稳定有效，漏洞的现实威胁进一步提升。鉴于此漏洞影响较大，建议客户尽快更新至最新版本。
漏洞名称 | Windows NTLM 权限提升漏洞 | ||
公开时间 | 2023-01-11 | 更新时间 | 2023-02-14 |
CVE编号 | CVE-2023-21746 | 其他编号 | QVD-2023-1868 CNNVD-202301-744 |
威胁类型 | 权限提升 | 技术类型 | 权限、特权和访问控制不正确 |
厂商 | Microsoft | 产品 | Windows |
风险等级 | |||
奇安信CERT风险评级 | 风险等级 | ||
高危 | 蓝色（一般事件） | ||
现时威胁状态 | |||
POC状态 | EXP状态 | 在野利用状态 | 技术细节状态 |
已发现 | 已发现 | 未发现 | 已公开 |
漏洞描述 | Windows NTLM 在进行身份验证时存在漏洞，允许拥有低权限的本地攻击者运行特制程序将权限提升至SYSTEM。攻击者可通过强制身份验证获取特权用户的上下文，并在身份认证时交换代表上下文的Reserved字段，从而获得特权。 | ||
影响版本 | Windows Server 2012 R2 Windows RT 8.1 Windows 8.1 for x64-based systems Windows 8.1 for 32-bit systems Windows 7 for x64-based Systems Service Pack 1 Windows 7 for 32-bit Systems Service Pack 1 Windows Server 2016 (Server Core installation) Windows Server 2016 Windows Server 2022 (Server Core installation) Windows Server 2022 Windows Server 2012 (Server Core installation) Windows Server 2012 Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation) Windows Server 2008 R2 for x64-based Systems Service Pack 1 Windows Server 2012 R2 (Server Core installation) Windows 10 Version 1607 for x64-based Systems Windows 10 Version 1607 for 32-bit Systems Windows 10 for x64-based Systems Windows 10 for 32-bit Systems Windows 10 Version 22H2 for 32-bit Systems Windows 10 Version 22H2 for ARM64-based Systems Windows 10 Version 22H2 for x64-based Systems Windows 11 Version 22H2 for x64-based Systems Windows 11 Version 22H2 for ARM64-based Systems Windows 10 Version 21H2 for x64-based Systems Windows 10 Version 21H2 for ARM64-based Systems Windows 10 Version 21H2 for 32-bit Systems Windows 11 version 21H2 for ARM64-based Systems Windows 11 version 21H2 for x64-based Systems Windows 10 Version 20H2 for ARM64-based Systems Windows 10 Version 20H2 for 32-bit Systems Windows 10 Version 20H2 for x64-based Systems Windows Server 2019 (Server Core installation) Windows Server 2019 Windows 10 Version 1809 for ARM64-based Systems Windows 10 Version 1809 for x64-based Systems Windows 10 Version 1809 for 32-bit Systems | ||
其他受影响组件 | 无 |
奇安信 CERT 已成功复现Windows NTLM 权限提升漏洞(CVE-2023-21746)，复现截图如下:
威胁评估
漏洞名称 | Windows NTLM 权限提升漏洞 | ||
CVE编号 | CVE-2023-21746 | 其他编号 | QVD-2023-1868 CNNVD-202301-744 |
CVSS 3.1评级 | 高危 | CVSS 3.1分数 | 7.8 |
CVSS向量 | 访问途径（AV） | 攻击复杂度（AC） | |
本地 | 低 | ||
所需权限（PR） | 用户交互（UI） | ||
低 | 不需要 | ||
影响范围（S） | 机密性影响（C） | ||
不改变 | 高 | ||
完整性影响（I） | 可用性影响（A） | ||
高 | 高 | ||
危害描述 | 此漏洞允许拥有低权限的本地攻击者通过NTLM反射获得特权用户身份验证上下文，并利用SMB协议在任意位置写入文件，结合XPS Print Job或NetMan DLL Hijacking等手段可在目标系统上以SYSTEM权限执行任意代码。 |
处置建议
使用奇安信天擎的客户可以通过奇安信天擎控制台一键更新修补相关漏洞，也可以通过奇安信天擎客户端一键更新修补相关漏洞。
也可以采用以下官方解决方案来防护此漏洞：
Windows自动更新
Windows系统默认启用 Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：
系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。
手动安装补丁
另外，对于不能自动更新的系统版本（如Windows 7），可参考以下链接下载适用于该系统的安全更新:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21746
产品解决方案
奇安信天擎终端安全管理系统解决方案
奇安信天擎终端安全管理系统并且有漏洞修复相关模块的用户，可以将补丁库版本更新到：2023.01.11.1及以上版本，对内网终端进行补丁更新。
推荐采用自动化运维方案，如果控制中心可以连接互联网的用户场景，建议设置为自动从奇安信云端更新补丁库至2023.01.11.1版本。
控制中心补丁库更新方式：每天04:00-06:00自动升级，升级源为从互联网升级。
纯隔离网内控制中心不能访问互联网，不能下载补丁库和补丁文件，需使用离线升级工具定期导入补丁库和文件到控制中心。
参考资料
[1]https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-21746
时间线
2023年2月15日，奇安信 CERT发布安全风险通告。
到奇安信NOX-安全监测平台查询更多漏洞详情