【缝隙公告】 Microsoft Windows PsExec 0day缝隙

颁布功夫 2021-01-08

0x00 缝隙概述

CVE  ID


时  间

2021-01-08

类   型

LPE

等  级

高危

远程利用

否

影响领域

PsExec v1.72-v2.2

 

0x01 缝隙详情

image.png

PsExec是SysInternals套件的一部门，它是系统治理员的一种工具，可在推算机客户端远程执行利用法式。

2020年12月09日，PsExec被披露存在一个本地权限提升0day缝隙，该缝隙被定名为管道劫持（或定名管道占用）缝隙，该缝隙允许攻击者诱使PsExec重新打开恶意创建的定名管道并授予其本地系统权限。成功利用此缝隙后，攻击者将可能以本地系统的身份执行肆意过程，从而节制整个推算机。

有关钻研人员暗示，该缝隙影响PsExec版本从1.72到最新版本2.2，这意味着该缝隙已经存在约莫14年了。

 

缝隙细节

PsExec蕴含一个名为“PSEXESVC”的嵌入式资源，它是一个可执行的服务级别组件，每当PsExec客户机以远程机械为指标执行PsExec时，该组件就会作为SYSTEM被提取、复制到远程机械上并执行。PsExec客户端和远程PSEXESVC服务之间的通讯通过定名管道进行。具体来说，名为“\PSEXESVC”的管道掌管解析和执行PsExec客户端的号令，好比“要执行哪个利用法式”、“有关号令行数据”等。

当然，出于安全原因，PSEXESVC服务的“\PSEXESVC”管道受到保�；；�，仅允许治理员进行读/写接见。

image.png

 

但是，通过管道抢注（即起初创建管道的步骤），低权限利用法式能够接见该管道。也就是说，若是本地低权限利用法式在执行PSEXESVC之前创建了“\PSEXESVC”定名管道，则PSEXESVC将获取现有实例的句柄，而不是创建定名管道，这将产生一些意料之外的后果，稍后将看到。下面展示了PSEXESVC若何创建“\PSEXESVC”管道的反汇编：：

image.png

 

在这里，从nMaxInstances参数能够看到，它允许存在无限的“\PSEXESVC”管道实例。此外，它并不能确保它是第一个创建“\PSEXESVC”管道的利用法式，并且通常使用FILE_FLAG_FIRST_PIPE_INSTANCE标志来实现。在这种情况下，它将尝试创建定名管道，若是定名管道已经存在，则只需在挪用后获取现有“\PSEXESVC”管道的句柄即可，这将继承现有管道的ACL。

 

以下，通过制作了一个单一的“ PipeHijack.exe”法式，该法式创建了“\PSEXESVC”管道，该管道拥有对“ David Wells”用户的读/写接见权限。

image.png

 

运行后，若是将来在本机上本地或远程执行PsExec，PSEXESVC实例将获得管道的句柄，并能够读取/写入该句柄，从而允许低权限利用法式与此PSEXESVC系统服务通讯。

image.png

 

PoC链接：：

https://github.com/tenable/poc/blob/master/Microsoft/Sysinternals/PsExecEscalate.cpp

 

0x02 措置建议

目前，Microsoft暂未颁布此缝隙的安全更新，但 0patch团队已经颁布了此缝隙的微补丁。

下载链接：：

https://blog.0patch.com/2021/01/local-privilege-escalation-0day-in.html

 

0x03 参考链接

https://www.bleepingcomputer.com/news/security/windows-psexec-zero-day-vulnerability-gets-a-free-micropatch/

https://medium.com/tenable-techblog/psexec-local-privilege-escalation-2e8069adc9c8

 

0x04 功夫线

2020-12-09  David Wells披露缝隙

2021-01-07  0patch团队颁布微补丁

2021-01-08  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：：http://www.first.org/cvss/

image.png