Windows Installer权限提升漏洞（0day）风险通告，腾讯零信任iOA率先支持检测拦截

腾讯安全威胁情报中心

长按二维码关注

腾讯安全威胁情报中心

腾讯安全攻防团队A&D Team

腾讯安全企业安全运营团队

腾讯安全能力运营团队

腾讯安全注意到Windows Installer权限提升漏洞Exp在互联网上公开。此漏洞为Microsoft Windows Installer（CVE-2021-41379）漏洞修复补丁的绕过，该漏洞暂无补丁，为0day状态。

腾讯安全专家已验证网上公开的该0day 漏洞EXP（漏洞利用代码）可用，这意味着网络黑产利用已为期不远。

1
漏洞详情

该漏洞是安全研究员 Abdelhamid Naceri发现的，他在检查微软的修复后发现了一个绕过补丁和一个更强大的新0day特权提升漏洞。Naceri 在GitHub上发布了新0day漏洞的POC/EXP，解释说适用于所有受支持的 Windows 版本。

“这个变种是在分析CVE-2021-41379补丁期间发现的。该错误没有被正确修复，而不是放弃绕过。”Naceri在他的文章中解释道。虽然可以配置组策略以防止“标准”用户执行 MSI 安装程序操作，但他的0day可以绕过此策略并且无论如何都会起作用。

该漏洞利用程序通过覆盖Microsoft Edge提升服务（elevation_service.exe）DACL，将自身复制到elevation_service.exe并执行以获得提升的权限。

腾讯安全专家验证公开的漏洞利用程序，证实确实可以获得system权限，没有安装Edge的服务器系统，不受原始exp影响。

有国外安全研究者称，已发现在野利用该漏洞的恶意样本。

微软要修复该漏洞，常规时间会是12月份的补丁星期二，尚有两周空档期，目前暂不清楚微软会不会提前发布补丁。

2
漏洞编号

暂无

3
漏洞等级

高危，可以本地提权获得system权限。

漏洞状态：

漏洞细节	漏洞PoC	漏洞EXP	在野利用
未知	已公开	已公开	已存在

4
受影响的版本

该漏洞影响所有受支持的 Windows 版本，包括 Windows 10、Windows 11 和 Windows Server 2022。

5
漏洞修复建议

该漏洞目前仍为0day状态，暂时没有官方补丁修复，且已有恶意样本被检测到。腾讯安全专家建议Windows用户近期应小心处理来历不明的未知文件或文档，避免不慎点击风险文件而中招。

缓解方案：关闭MicrosoftEdgeElevationService服务，可以缓解风险。

操作步骤：
Win+Q快捷键，在搜索框输入“服务”，然后以管理员权限运行，在服务列表中，找到“MicrosoftEdgeElevationService服务”，将启动类型改为“禁用”。