

仍有很多企业并未修复微软 Hyber-V 的严重漏洞

代码卫士

2021-07-29

导读：漏洞详情已披露，速修复

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士

SafeBreach 公司的研究员Peleg Hadar和 Guardicore 公司的研究员Ophir Harpaz 发现并向微软报告了 Hyper-V 中的严重漏洞 (CVE-2021-28476)。今天，两名研究员发布了漏洞详情。

Hyper-V 是微软公司在 Windows 系统和 Azure 云计算环境中创建虚拟机的原生管理程序。CVE-2021-28476 的CVSS评分为9.9分，如在未修复机器上利用该漏洞可导致主机崩溃（拒绝服务）或执行任意代码，从而造成灾难性影响。

终止或完全控制虚拟机

该漏洞位于 Hyper-V 的网络交换机驱动 (vmswitch.sys) 中，影响2019年及之前发布的 Windows 10 和 Windows Server 2012。它现身于2019年的一个构建版本中并在今年5月份得以修复。

关于该缺陷的公开详情非常少，不过今天这两名研究员发布博客文章说明了漏洞存在的位置以及为何可被利用。该漏洞产生的原因在于 Hyper-V 的虚拟交换机 (vmswitch) 并未验证旨在网络适配器（外部或连接到 vmswitch） OID（对象标识符）请求的值。OID 请求包括硬件卸载、IPsec 和单个 root I/O 虚拟化 (SR-IOV) 请求。

Harpaz 解释称，“在处理 OID 请求时，vmswitch 追踪其内容以记录并调试，它也适用于 OID_SWITCH_NIC_REQUEST。然而，由于其封装式结构，vmswitch 需要特殊处理该请求并解引用 OidRequest 来追踪内部请求。该漏洞的问题在于，vmswitch 从未验证 OidRequest 的值因此能够解引用不合法指针。“

攻击者需要能够访问 guest 虚拟机并向 Hyper-V 主机发送特殊构造的数据包，才能成功利用该漏洞。漏洞被成功利用后可导致主机崩溃并终止所有在主机上运行的虚拟机，或者获得在该主机上的远程代码执行权限，从而完全控制主机及其虚拟机。

组织机构修复速度慢

虽然Azure 服务并不受该漏洞影响，但一些本地 Hyper-V 部署仍然可能受影响，因为在补丁推出后并非所有的管理员都更新了 Windows 机器。

Harpaz 表示，多年来仍未修复企业网络中机器漏洞的情况很常见。爆发于2017年4月的 “永恒之蓝 (EternalBlue)“ 漏洞就是一个例子，虽然补丁提前一个月发布，但仍然用于极具破坏性的 WannaCry 和 NotPetya 网络攻击活动中。Harpaz 指出，”当前有太多的 Windows Servers 易受知名漏洞的影响，如果在很长时间内组织机构未修复该漏洞，我也不会惊讶。“

这两名研究员计划在8月份举办的黑帽大会上公开其研究成果并说明如何通过自有的模糊测试计划 hAFL1 找到该漏洞。