Windows Defender远程代码执行漏洞CVE-2021-31985详情通告

　　近期 Google Project Zero公开了该Windows Defender远程代码执行漏洞细节，该漏洞无需用户交互，只要触发Defender对恶意文件的检测即可触发并利用漏洞，现在一起来看看这个漏洞详情吧。

　　Windows Defender 作为Windows的默认防线，其漏洞拥有极高的利用价值。因为默认可绕过Windwos系统防御机制，以及Defender本身以SYSTEM(最高权限运行)，该漏洞是Defender对历史格式asprotect的虚拟执行造成，攻击者可以通过向用户发送恶意邮件，该邮件自动触发Defender扫描邮件附件，攻击者借此即可接管用户计算机。

　　Window Defender 在解析历史文件格式asprotect时采用了虚拟执行的方式，但由于解析过程中Defender以SYSTEM(最高权限)允许，并且对执行过程的DLL加载未进行严格的校验，导致远程任意代码执行。攻击者构造特制的二进制程序，通过邮件等方式投递到用户计算机无需用户打开，即可接管用户计算机。同时该漏洞可绕过Defender的防御策略。

　　对此，360CERT建议广大用户好资产自查以及预防工作，以免遭受黑客攻击。

　　目前对该漏洞评定为：

　　1、威胁等级：高危

　　2、影响面：广泛

　　3、攻击者价值：极高

　　4、利用难度：高

　　针对该修复建议：

　　根据影响版本中的信息，排查并升级到安全版本

　　Windows 在 6月补丁日已针对该漏洞发布修复程序，请用户开启 Window 自动更新以获得补丁安装。

　　360CERT建议通过安装360安全卫士进行一键更新。

　　应及时进行Microsoft Windows版本更新并且保持Windows自动更新开启。

　　Windows server / Windows 检测并开启Windows自动更新流程如下：

　　- 点击开始菜单，在弹出的菜单中选择“控制面板”进行下一步。

　　- 点击控制面板页面中的“系统和安全”，进入设置。

　　- 在弹出的新的界面中选择“windows update”中的“启用或禁用自动更新”。

　　- 然后进入设置窗口，展开下拉菜单项，选择其中的自动安装更新(推荐)。