NTLM (NT LAN Manager)是 telnet 的一种验证身份方式,即问询/应答身份验证协议。NTLM是Windows早期安全协议,因向后兼容性而保留下来,被广泛应用于Windows系列产品中。

近日,奇安信CERT监测到Windows NTLM 权限提升漏洞(CVE-2023-21746)技术细节、PoC、EXP在互联网上公开,国外研究人员将其称为“LocalPotato”。Windows NTLM 在进行身份验证时存在漏洞,允许拥有低权限的本地攻击者通过运行特制程序将权限提升至SYSTEM。奇安信CERT已复现此漏洞,经验证,此PoC稳定有效,漏洞的现实威胁进一步提升。鉴于此漏洞影响较大,建议客户尽快更新至最新版本。

漏洞名称

Windows NTLM 权限提升漏洞

公开时间

2023-01-11

更新时间

2023-02-14

CVE编号

CVE-2023-21746

其他编号

QVD-2023-1868 CNNVD-202301-744

威胁类型

权限提升

技术类型

权限、特权和访问控制不正确

厂商

Microsoft

产品

Windows

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色(一般事件)

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

已发现

已发现

未发现

已公开

漏洞描述

Windows NTLM 在进行身份验证时存在漏洞,允许拥有低权限的本地攻击者运行特制程序将权限提升至SYSTEM。攻击者可通过强制身份验证获取特权用户的上下文,并在身份认证时交换代表上下文的Reserved字段,从而获得特权。

影响版本

Windows Server 2012 R2

Windows RT 8.1

Windows 8.1 for x64-based systems

Windows 8.1 for 32-bit systems

Windows 7 for x64-based Systems Service Pack 1

Windows 7 for 32-bit Systems Service Pack 1

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2012 R2 (Server Core installation)

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 10 for x64-based Systems

Windows 10 for 32-bit Systems

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 11 Version 22H2 for x64-based Systems

Windows 11 Version 22H2 for ARM64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows 11 version 21H2 for ARM64-based Systems

Windows 11 version 21H2 for x64-based Systems

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 20H2 for x64-based Systems

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

其他受影响组件

奇安信 CERT 已成功复现Windows NTLM 权限提升漏洞(CVE-2023-21746),复现截图如下:

威胁评估

漏洞名称

Windows NTLM 权限提升漏洞

CVE编号

CVE-2023-21746

其他编号

QVD-2023-1868

CNNVD-202301-744

CVSS 3.1评级

高危

CVSS 3.1分数

7.8

CVSS向量

访问途径(AV

攻击复杂度(AC

本地

所需权限(PR

用户交互(UI

不需要

影响范围(S

机密性影响(C

不改变

完整性影响(I

可用性影响(A

危害描述

此漏洞允许拥有低权限的本地攻击者通过NTLM反射获得特权用户身份验证上下文,并利用SMB协议在任意位置写入文件,结合XPS Print Job或NetMan DLL Hijacking等手段可在目标系统上以SYSTEM权限执行任意代码。

处置建议

使用奇安信天擎的客户可以通过奇安信天擎控制台一键更新修补相关漏洞,也可以通过奇安信天擎客户端一键更新修补相关漏洞。

也可以采用以下官方解决方案来防护此漏洞:

Windows自动更新

Windows系统默认启用 Microsoft Update,当检测到可用更新时,将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新:

1、点击“开始菜单”或按Windows快捷键,点击进入“设置”

2、选择“更新和安全”,进入“Windows更新”(Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”,步骤为“控制面板”-> “系统和安全”->“Windows更新”)

3、选择“检查更新”,等待系统将自动检查并下载可用更新

4、重启计算机,安装更新

系统重新启动后,可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新,可点击该更新名称进入微软官方更新描述链接,点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”,然后在新链接中选择适用于目标系统的补丁进行下载并安装。

手动安装补丁

另外,对于不能自动更新的系统版本(如Windows 7),可参考以下链接下载适用于该系统的安全更新:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21746

参考资料

[1]https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-21746

声明:本文来自奇安信 CERT,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。