漏洞描述
Microsoft Windows任務調度器(qì)SchRpcSetSecurity API在處理ALPC時存在一(yī)個(gè)漏洞，該漏洞允許經過身份驗證的用戶覆蓋應該由文件(jiàn)系統acl保護的文件(jiàn)的内容，可以用來獲得系統特權。CERT已經确認，公開(kāi)POC代碼可以在64位的Windows 10和Windows Server 2016系統上(shàng)實現攻擊，還(hái)确認了與32位Windows 10的兼容性，并對公開(kāi)POC代碼進行了少量修改。通(tōng)過進一(yī)步的修改，可以與其他Windows版本兼容。
漏洞評級
高(gāo)危
影響範圍
Windows 7,8,10（x86 and x64），Windows Server 2008/R2,2012,2016 經過身份驗證的本地用戶可以獲得更高(gāo)的(系統)權限。
修複建議
CERT/CC目前不知道這個(gè)問題的實際解決方案。請考慮以下(xià)解決辦法: 1、部署Microsoft Sysmon檢測規則 Kevin Beaumont提供了創建規則的指導，以檢測利用這個(gè)漏洞。設置C:\Windows\Tasks目錄的acl 策略。 警告:這種緩解措施還(hái)沒有得到(dào)微軟的批準。然而，在測試中，它确實阻止了這個(gè)漏洞的利用。它似乎還(hái)允許調度任務繼續運行，用戶可以根據需要繼續創建新的調度任務。然而，據報(bào)道，這個(gè)更改會(huì)破壞遺留任務調度程序接口創建的東西(xī)。這包括SCCM和相(xiàng)關的SCEP更新。請确保您已經測試了這種緩解措施，以确保它不會(huì)在您的環境中造成不可接受的後果。 要應用這個(gè)緩解，在一(yī)個(gè)提升特權提示符中運行以下(xià)命令: icacls c:\windows\任務/删除:g“認證用戶” icacls c:\ windows \ /拒絕任務系統:(OI)(CI)(WD WDAC) 注意，當對這個(gè)漏洞提供了修複程序時，這些修改應該被撤銷。