SafeBreach专家Alon Leviev发布了一款名为 Windows Downdate的工具,可用于对Windows 10、Windows 11 和 Windows Server 版本进行降级攻击。
这种攻击允许利用已经修补的漏洞,因为操作系统再次容易受到旧错误的影响。
Windows Downdate 是一个开源Python 工具,预编译为 Windows 可执行文件,可用于降级 Windows 10、Windows 11 和 Windows Server 的系统组件。
https://github.com/SafeBreach-Labs/WindowsDowndate
Leviev 分享了使用该工具的几个示例,它允许您回滚 Hyper-V 虚拟机管理程序(至两年前的版本)、Windows 内核、NTFS 驱动程序和过滤器管理器(至基础版本)的更新,以及其他 Windows 组件和之前应用的补丁。
通过 Windows Downdate,您可以控制 Windows 更新来降级并暴露DLL、驱动程序、NT 内核、安全内核、虚拟机管理程序、IUM trustlet 等中包含的过去的漏洞。
除了自定义降级之外,Windows Downdate 还包含 CVE-2021-27090、CVE-2022-34709、CVE-2023-21768 和 PPLFault 的补丁回滚的易于使用的示例,以及虚拟机管理程序降级的示例,内核,并绕过 UEFI VBS 块。
回想一下,专家在 Black Hat 2024 会议上首次谈论此攻击以及相关的0day漏洞( CVE-2024-38202 和 CVE-2024-21302 ),当时他解释说使用该工具几乎是不可能的检测,因为 EDR 解决方案无法阻止攻击,并且 Windows 更新认为设备已完全更新。
我发现了多种禁用 Windows VBS 安全性的方法,包括 Credential Guard 和虚拟机管理程序保护的代码完整性 (HVCI),即使在使用 UEFI 锁时也是如此。
据我所知,这是第一次在没有物理访问的情况下绕过VBS中的UEFI块。
结果,我能够让一台完全打过补丁的 Windows 机器容易受到数千个旧漏洞的影响,将已经打过补丁的漏洞变成 0 天,并使“完全打过补丁”这个词对于世界上任何 Windows 系统来说都毫无意义。
尽管 Microsoft 于 2024 年 8 月 7 日发布了更新 ( KB5041773 ) 来解决 Windows 安全内核模式 CVE-2024-21302 权限提升漏洞。
但该公司尚未修补Windows 更新堆栈权限提升漏洞 CVE -2024-38202。
标签:Windows,虚拟机,补丁,更新,2024,漏洞,CVE From: https://blog.csdn.net/qq_29607687/article/details/143669541