[业内新闻动态] [【转载】] Windows错误报告服务曝权限提升漏洞，PoC利用代码已公开

结论

该漏洞源于WER服务对ALPC端口调用的权限验证缺失，攻击者可通过构造恶意ALPC请求触发WerFault.exe进程以SYSTEM权限执行任意命令。核心攻击链依赖未授权的SvcElevatedLaunch方法（0x0D），其未对调用者身份及参数进行校验，导致特权提升。建议立即验证系统状态并部署补丁。

分析路径（T00ls方法论）

L1 攻击面识别

1. 目标服务定位：
   • WER服务（WindowsErrorReportingService）通过ALPC端口暴露功能接口，端口名\WindowsErrorReportingService。
   • 高危接口：方法0x0D（SvcElevatedLaunch）用于启动特权进程，但未验证调用者权限。
2. 攻击入口：
   • 攻击者通过ALPC客户端发送恶意请求，利用SvcElevatedLaunch将自定义命令行参数注入WerFault.exe进程。
3. 权限提升路径：
   • WerFault.exe由高权限的WER服务启动，继承SYSTEM令牌，允许执行任意代码（如提权、横向移动）。

L2 假设与验证

1. 攻击链假设：
   • 攻击者需通过ALPC协议向目标端口发送结构化请求，包含伪造的命令行参数。
   • 核心验证点：WER服务是否对SvcElevatedLaunch的调用者（如进程标识符、用户权限）进行检查。
2. 漏洞触发条件：
   • 通过逆向分析PoC代码，需确认参数传递方式：攻击者通过共享内存块传递伪造的命令行（如CommandLine字段）。
   • 验证WER服务是否直接将该参数传递给CreateProcess等函数，且未过滤特殊字符或路径。

L3 边界/异常场景

1. 边缘条件测试：
   • 参数长度限制：尝试传递超长命令行参数，观察是否触发内存溢出或截断。
   • 参数格式验证：尝试注入cmd.exe /c calc等简单命令，确认WER服务是否直接执行。
   • 服务状态依赖：若WER服务未运行，需验证攻击者能否强制启动服务并触发漏洞。
2. 防御绕过场景：
   • 若系统启用了ALPC端口访问控制列表（SDDL），需检查默认配置是否允许低权限进程访问目标端口。

L4 防御反推与修复

1. 漏洞修复逻辑：
   • 微软补丁可能在SvcElevatedLaunch方法中添加权限检查（如SeImpersonatePrivilege或SeTcbPrivilege），或验证调用者进程的完整性级别。
   • 参数校验：强制过滤命令行参数中的危险路径（如%SYSTEMROOT%）或特殊符号（如&）。
2. 临时缓解措施：
   • 通过sc config WindowsErrorReporting start= disabled关闭WER服务（风险：影响错误上报功能）。
   • 使用Windows Defender Application Control限制WerFault.exe的执行参数或启动权限。

验证步骤

1. 检查系统版本：

   wmic os get Caption,Version,BuildNumber  

   • 若Build号低于2026年1月补丁基准版本（需微软官方公告确认），则存在风险。
2. 监控ALPC活动：
   • 使用Process Monitor过滤Operation:AlpcSendMessage，观察WindowsErrorReportingService端口的请求数据。
3. PoC验证：
   • 编译GitHub发布的PoC代码，尝试触发WerFault.exe以SYSTEM权限执行命令（如写入C:\Windows\System32目录的文件）。
4. 系统日志检查：
   • 检查Security事件日志中的4688事件（进程创建），确认是否存在异常的WerFault.exe子进程（父进程应为WindowsErrorReportingService）。

修复建议

1. 立即部署补丁：
   • 安装2026年1月安全更新（需微软官方KB编号），修复ALPC接口的权限验证逻辑。
2. 最小权限原则：
   • 禁用非必要用户对WindowsErrorReportingService的访问权限（通过sc sdset调整SDDL）。
3. 持续监控：
   • 配置EDR/HIDS规则，监控WerFault.exe的异常行为（如高权限进程启动、未预期的网络连接）。