Windows Print Spooler 被曝未修复 0day，可导致恶意软件以管理员权限运行

Windows Print Spooler 被曝未修复 0day，可导致恶意软件以管理员权限运行聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

研究人员找到绕过Windows 打印服务漏洞 CVE-2020-1048 补丁的方法，可导致攻击者以提升后的权限执行恶意代码。

CVE-2020-1048 最初在5月份修复，新补丁将由微软在本月安全更新中发布。

尚无补丁

Windows Print Spooler 被曝未修复 0day，可导致恶意软件以管理员权限运行

SafeBreach Labs 公司的研究员 Peleg Hadar 和 Tomer Bar 发现并报告了CVE-2020-1048，它影响管理打印进程的 Windows PrintSpooler。绕过该补丁被视作新漏洞 CVE-2020-1337，将于8月11日收到修复方案。

这个新漏洞的技术详情尚未公开，将于微软发布补丁后和PoC Mini-Filter 驱动一起发布，说明如何实时防御两个漏洞遭利用。

植入恶意软件

Windows Print Spooler 被曝未修复 0day，可导致恶意软件以管理员权限运行

攻击者可构造由后台打印程序 (spooler) 解析的恶意文件利用 CVE-2020-1048。一种文件类型是 .SHD (shadow) 格式，包含打印任务的元数据如 SID（用户创建任务的 ID）；另一种文件类型是 SPL（Spool 文件），含有需要打印的数据。通过分析打印进程和了解它的工作原理，研究人员发现函数 ProcessShadowJobs在进程启动时，处理后台打印程序文件夹中的所有 SHD 文件。

Windows Print Spooler 被曝未修复 0day，可导致恶意软件以管理员权限运行

了解到 Windows PrintSpooler 以系统权限运行且任意用户都能将 SHD 文件释放到其文件夹后，研究人员试图找到写入 system32 目录中的方法，这一任务需要提升权限。

Hadar 和 Bar 发现他们能够修改一个 SHD 文件以包含 SYSTEM SID，将其添加到 Spooler 的文件夹中，并为 Spooler 重启计算机，以Windows 上最高权限的账户执行这一任务。

通过伪装成 SPL 文件的任意 DLL(webmcomn.dll)，将恶意构造的 SHD 复制到该后台打印程序的文件夹中。重启之后，他们实现了提权并将 DLL 写入 System32 文件夹。研究人员指出，“多个 Windows 服务加载了我们的 DLL(webmcomn.dll)，因为它们并未验证签名并试图从一个不存在的路径加载 DLL，意味着我们的代码也得到执行。”