研究发现超过40个Windows设备驱动程序包含提升权限的漏洞

所有这些漏洞都允许驱动程序充当代理，以执行对硬件资源的高权限访问，例如对处理器和芯片组I/O空间的读写访问，模型特定寄存器（MSR），控制寄存器（CR），调试寄存器（DR），物理内存和内核虚拟内存，从而实现权限提升，因为它可以将攻击者从用户模式（Ring 3）移动到OS内核模式（Ring 0）。保护环的概念总结在下图中，其中每个内环被逐渐授予更多特权。值得注意的是，即使是管理员也可以与其他用户一起在Ring 3（并且没有更深层次）进行操作。访问内核不仅可以为攻击者提供操作系统可用的最高权限访问权限，还可以授予对具有更高权限（如系统BIOS固件）的硬件和固件接口的访问权限。

由于驱动程序通常是更新固件的手段，“驱动程序不仅提供必要的权限，还提供进行更改的机制，”Eclypsium指出。如果系统中已存在易受攻击的驱动程序，则恶意应用程序只需搜索它以提升权限。但是，如果驱动程序不存在windows权限，恶意应用程序可能会带驱动程序，但需要管理员批准才能安装驱动程序。

Eclypsium的首席研究员Mickey Shkatov在给ZDNet的一份声明中指出，“微软将使用其HVCI（虚拟机管理程序强制执行的代码完整性）功能，将报告给他们的驱动程序列入黑名单。”但是，该功能仅适用于第7代及更高版本的英特尔处理器，因此在旧CPU或甚至禁用HCVI的较新CPU的情况下需要手动卸载驱动程序。

微软进一步澄清：“为了利用易受攻击的驱动程序，攻击者需要已经破坏了计算机。”但是，这里的问题是，在上述特权级别表示中已经在Ring 3上破坏了系统的攻击者可以获得内核访问权限。

为了保护自己免受不良驱动因素的影响，微软建议用户使用“Windows Defender应用程序控制来阻止已知的易受攻击的软件和驱动程序”。它还表示，“客户可以通过为Windows安全中的功能强大的设备启用内存完整性来进一步保护自己。”

Eclypsium提供了一个完整的列表，列出了所有已经在其博客文章中更新过驱动程序的供应商，尽管他们注意到一些受影响的供应商尚未榜上有名，因为他们仍在努力提供修复。研究人员还会在GitHub上传一份受影响的驱动程序及其哈希列表，以便用户可以在他们的设备上手动禁用它们。

（编辑：天瑞地安资讯网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!