Windows Installer权限提升漏洞（0day）风险通告，腾讯零信任iOA率先支持检测拦截

腾讯安全注意到Windows Installer 权限提升漏洞Exp在互联网上公开。此漏洞为Microsoft Windows Installer（CVE-2021-41379）漏洞修复补丁的绕过，该漏洞暂无补丁，为0day状态。

腾讯安全专家已验证网上公开的该0day 漏洞EXP（漏洞利用代码）可用，这意味着网络黑产利用将为期不远。

漏洞描述：

该漏洞是安全研究员 Abdelhamid Naceri 发现的，他在检查微软的修复后发现了一个绕过补丁和一个更强大的新0day特权提升漏洞。Naceri 在GitHub上发布了新0day漏洞的POC/EXP，解释说适用于所有受支持的 Windows 版本。

“这个变种是在分析 CVE-2021-41379 补丁期间发现的。该错误没有被正确修复，而不是放弃绕过。”Naceri 在他的文章中解释道。虽然可以配置组策略以防止“标准”用户执行 MSI 安装程序操作，但他的0day可以绕过此策略并且无论如何都会起作用。

该漏洞利用程序通过覆盖Microsoft Edge提升服务（elevation_service.exe）DACL，将自身复制到elevation_service.exe并执行以获得提升的权限。

腾讯安全专家验证公开的漏洞利用程序，证实确实可以获得system权限，没有安装edge的服务器系统，不受原始exp影响。

有国外安全研究者称，已发现在野利用该漏洞的恶意样本。

微软要修复该漏洞，常规时间会是12月份的补丁星期二，尚有两周空档期，目前暂不清楚微软会不会提前发布补丁。

漏洞编号：

暂无

漏洞等级：

高危，可以本地提权获得system权限

漏洞状态：

受影响的版本：

该漏洞影响所有受支持的 Windows 版本，包括 Windows 10、Windows 11 和 Windows Server 2022

漏洞修复方案：

该漏洞目前仍为0day状态，暂时没有官方补丁修复，且已有恶意样本被检测到。腾讯安全专家建议Windows用户近期应小心处理来历不明的未知文件或文档，避免不慎点击风险文件而中招。

缓解方案：关闭MicrosoftEdgeElevationService服务，可以缓解风险。

操作步骤：

Win+Q快捷键，在搜索框输入“服务”，然后以管理员权限运行，在服务列表中，找到“MicrosoftEdgeElevationService服务”，将启动类型改为“禁用”。

腾讯安全解决方案：

腾讯T-Sec零信任iOA已支持检测该漏洞的恶意利用。 

参考链接：

https://www.bleepingcomputer.com/news/security/malware-now-trying-to-exploit-new-windows-installer-zero-day/

扫描以下二维码关注“腾讯安全威胁情报中心”公众号，掌握最新的网络安全威胁情报。