- CNNVD編號(hào)：未知
- 危害等級(jí)： 高危
- CVE編號(hào)：CVE-2020-17008
- 漏洞類(lèi)型： 本地提權(quán)漏洞
- 威脅類(lèi)型：本地
- 廠 商：未知
- 漏洞來(lái)源：深信服
- 發(fā)布時(shí)間：2020-12-28
- 更新時(shí)間：2021-01-13
漏洞簡(jiǎn)介
1、相關(guān)組件介紹
Splwow64.exe是一個(gè)Windows的核心系統(tǒng)文件，通常在后臺(tái)運(yùn)行，并且不可見(jiàn)。它是32位應(yīng)用程序的打印機(jī)驅(qū)動(dòng)程序。換句話(huà)說(shuō)，splwow64.exe允許32位應(yīng)用程序與x64 Windows構(gòu)建上的64位打印機(jī)后臺(tái)處理程序服務(wù)連接。
2、漏洞描述
該漏洞存在于windows的splwow64組件，當(dāng)32位進(jìn)程嘗試在64位系統(tǒng)中連接至打印機(jī)服務(wù)時(shí)，windows會(huì)啟動(dòng)splwow64進(jìn)程來(lái)處理他們之間的交互過(guò)程，攻擊者通過(guò)發(fā)送LPC消息與splwow64進(jìn)行交互，當(dāng)splwow64在處理編號(hào)為0x6d(INDEX_DocumentEvent)的消息時(shí)，會(huì)錯(cuò)誤的將攻擊者可控的值當(dāng)成一個(gè)有效的指針來(lái)處理，進(jìn)而導(dǎo)致任意地址讀寫(xiě)的錯(cuò)誤，通過(guò)利用該錯(cuò)誤，攻擊者可以實(shí)現(xiàn)特權(quán)提升，然后可以讀取用戶(hù)的敏感數(shù)據(jù)，安裝后門(mén)。
3、漏洞分析
該漏洞存在于函數(shù)gdi32full.dll!GdiPrinterThunk , 當(dāng)splwow64接受到用戶(hù)發(fā)送的LPC消息時(shí)，會(huì)調(diào)用該函數(shù)對(duì)LPC消息進(jìn)行解析并進(jìn)一步處理，當(dāng)接受到編號(hào)為0x6D的消息時(shí),其處理邏輯如下：
在處理該消息時(shí)，它會(huì)從攻擊者傳入的LPC消息中取出多個(gè)攻擊者完全可控的值作為memcpy的參數(shù)，從而導(dǎo)致任意地址讀寫(xiě)的錯(cuò)誤。
根據(jù)Google披露的POC可以看出攻擊者可以向任意地址寫(xiě)入任意內(nèi)容，從而實(shí)現(xiàn)代碼執(zhí)行。
漏洞公示
受影響實(shí)體
目前受影響的Nexus版本：
Win8.1 到 win10 2004的所有版本
補(bǔ)丁
目前微軟沒(méi)有發(fā)布針對(duì)該漏洞的補(bǔ)丁。
建議用戶(hù)謹(jǐn)防來(lái)歷不明的文件和鏈接，不要輕易點(diǎn)擊運(yùn)行 . 不要使用舊版IE瀏覽器，它被該漏洞攻擊的風(fēng)險(xiǎn)更大，建議改為使用Chrome，firefox等瀏覽器。
