NTLM (NT LAN Manager)是 telnet 的一种验证身份方式，即问询/应答身份验证协议。NTLM是Windows早期安全协议，因向后兼容性而保留下来，被广泛应用于Windows系列产品中。
近日，奇安信CERT监测到Windows NTLM 权限提升漏洞(CVE-2023-21746)技术细节、PoC、EXP在互联网上公开，国外研究人员将其称为“LocalPotato”。Windows NTLM 在进行身份验证时存在漏洞，允许拥有低权限的本地攻击者通过运行特制程序将权限提升至SYSTEM。奇安信CERT已复现此漏洞，经验证，此PoC稳定有效，漏洞的现实威胁进一步提升。鉴于此漏洞影响较大，建议客户尽快更新至最新版本。
漏洞名称 | Windows NTLM 权限提升漏洞 | ||
公开时间 | 2023-01-11 | 更新时间 | 2023-02-14 |
CVE编号 | CVE-2023-21746 | 其他编号 | QVD-2023-1868 CNNVD-202301-744 |
威胁类型 | 权限提升 | 技术类型 | 权限、特权和访问控制不正确 |
厂商 | Microsoft | 产品 | Windows |
风险等级 | |||
奇安信CERT风险评级 | 风险等级 | ||
高危 | 蓝色（一般事件） | ||
现时威胁状态 | |||
POC状态 | EXP状态 | 在野利用状态 | 技术细节状态 |
已发现 | 已发现 | 未发现 | 已公开 |
漏洞描述 | Windows NTLM 在进行身份验证时存在漏洞，允许拥有低权限的本地攻击者运行特制程序将权限提升至SYSTEM。攻击者可通过强制身份验证获取特权用户的上下文，并在身份认证时交换代表上下文的Reserved字段，从而获得特权。 | ||
影响版本 | Windows Server 2012 R2 Windows RT 8.1 Windows 8.1 for x64-based systems Windows 8.1 for 32-bit systems Windows 7 for x64-based Systems Service Pack 1 Windows 7 for 32-bit Systems Service Pack 1 Windows Server 2016 (Server Core installation) Windows Server 2016 Windows Server 2022 (Server Core installation) Windows Server 2022 Windows Server 2012 (Server Core installation) Windows Server 2012 Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation) Windows Server 2008 R2 for x64-based Systems Service Pack 1 Windows Server 2012 R2 (Server Core installation) Windows 10 Version 1607 for x64-based Systems Windows 10 Version 1607 for 32-bit Systems Windows 10 for x64-based Systems Windows 10 for 32-bit Systems Windows 10 Version 22H2 for 32-bit Systems Windows 10 Version 22H2 for ARM64-based Systems Windows 10 Version 22H2 for x64-based Systems Windows 11 Version 22H2 for x64-based Systems Windows 11 Version 22H2 for ARM64-based Systems Windows 10 Version 21H2 for x64-based Systems Windows 10 Version 21H2 for ARM64-based Systems Windows 10 Version 21H2 for 32-bit Systems Windows 11 version 21H2 for ARM64-based Systems Windows 11 version 21H2 for x64-based Systems Windows 10 Version 20H2 for ARM64-based Systems Windows 10 Version 20H2 for 32-bit Systems Windows 10 Version 20H2 for x64-based Systems Windows Server 2019 (Server Core installation) Windows Server 2019 Windows 10 Version 1809 for ARM64-based Systems Windows 10 Version 1809 for x64-based Systems Windows 10 Version 1809 for 32-bit Systems | ||
其他受影响组件 | 无 | ||
奇安信 CERT 已成功复现Windows NTLM 权限提升漏洞(CVE-2023-21746)，复现截图如下:
威胁评估
漏洞名称 | Windows NTLM 权限提升漏洞 | |||
CVE编号 | CVE-2023-21746 | 其他编号 | QVD-2023-1868 CNNVD-202301-744 | |
CVSS 3.1评级 | 高危 | CVSS 3.1分数 | 7.8 | |
CVSS向量 | 访问途径（AV） | 攻击复杂度（AC） | ||
本地 | 低 | |||
所需权限（PR） | 用户交互（UI） | |||
低 | 不需要 | |||
影响范围（S） | 机密性影响（C） | |||
不改变 | 高 | |||
完整性影响（I） | 可用性影响（A） | |||
高 | 高 | |||
危害描述 | 此漏洞允许拥有低权限的本地攻击者通过NTLM反射获得特权用户身份验证上下文，并利用SMB协议在任意位置写入文件，结合XPS Print Job或NetMan DLL Hijacking等手段可在目标系统上以SYSTEM权限执行任意代码。 | |||
处置建议
使用奇安信天擎的客户可以通过奇安信天擎控制台一键更新修补相关漏洞，也可以通过奇安信天擎客户端一键更新修补相关漏洞。
也可以采用以下官方解决方案来防护此漏洞：
Windows自动更新
Windows系统默认启用 Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：
1、点击“开始菜单”或按Windows快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”-> “系统和安全”->“Windows更新”）
3、选择“检查更新”，等待系统将自动检查并下载可用更新
4、重启计算机，安装更新
系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。
手动安装补丁
另外，对于不能自动更新的系统版本（如Windows 7），可参考以下链接下载适用于该系统的安全更新:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21746
参考资料
[1]https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-21746
声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
