CVE-2020-1048 | PrintDemon本地提权缝隙公告

颁布功夫 2020-05-15

0x00 缝隙概述


CVE   ID

CVE-2020-1048

时    间

2020-05-15

类    型

LPE

等    级

高危

远程利用

否

影响领域

自1996年以来颁布(Windows NT 4)的所有Windows版本


0x01 缝隙详情


宝运莱·(中国区)最新官方网站


2020年5月12日安全钻研人员Alex Ionescu和Yarden Shafir颁布缝隙汇报，在Windows打印服务中发现了一个安全缝隙（CVE-2020-1048），能够用来劫持Printer Spooler机造，该缝隙影响自1996年以来颁布(Windows NT 4)的所有Windows版本。

CVE-2020-1048是Windows 打印后盾处置法式特权提升缝隙。若是 Windows 打印后盾处置法式服务器不正确地允许肆意写入文件系统，则会存在特权提升缝隙。成功利用此缝隙的攻击者能够使用提升的系统特权运行肆意代码。攻击者可随后装置法式；查看、更改或删除数据；或者创建占有齐全用户权限的新帐户。若要利用此缝隙，攻击者必须登录到受影响的系统并运行经特殊设计的剧本或利用法式。

钻研人员将PrintDemon称为“本地特权升级”（LPE）缝隙，即便攻击者只有通常用户权限，也能够通过PowerShell号令等方式等闲获取系统的治理员权限。攻击者能够初始化一个打印操作，有意使Print Spooler服务奔溃，而后再复原打印工作，此时打印操作就以SYSTEM权限运行了，能够覆盖系统中的肆意文件。

攻击者能够通过一个PowerShell号令利用CVE-2020-1048：

Add-PrinterPort -Name c:\windows\system32\ualapi.dll

在未装置补丁的系统中，运行上述号令会装置一个永远后门，该后门即便建复后也不会隐没。

POC: https://github.com/ionescu007/PrintDemon


0x02 措置建议


微软已经在5月的微软补丁日颁布了该缝隙的补丁，由于该缝隙极度容易被利用，钻研人员建议用户尽快装置补丁。

一时措施：通过PowerShell的Get-PrinterPorts或HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Ports 来扫描基于文件的端口，尤其是那些.DLL或.EXE扩大的文件蹊径。


0x03 有关新闻


https://www.zdnet.com/article/printdemon-vulnerability-impacts-all-windows-versions/#ftag=RSSbaffb68


0x04 参考链接


https://windows-internals.com/printdemon-cve-2020-1048/


0x05 功夫线


2020-05-15 VSRC颁布缝隙公告

宝运莱·(中国区)最新官方网站