McAfee的漏洞允许攻击者获取Windows系统权限

McAfee已经修补了其代理组件中的两个高危漏洞，其中一个漏洞可以让攻击者以SYSTEM权限进行任意代码执行操作。 McAfee目前已经修补了其McAfee产品组件中的两个高危漏洞，攻击者可以利用这些漏洞提升权限，甚至可以提升到SYSTEM权限。 根据McAfee的公告，这些漏洞存在于McAfee Agent 5.7.5之前的版本中，McAfee Agent主要应用于McAfee Endpoint Security及其他McAfee产品。 Agent是McAfee ePolicy Orchestrator(McAfee ePO)的一部分，其主要用于下载和执行策略，以及执行部署和更新等客户端任务。 McAfee Agent同时也是上传事件和提供有关系统状态数据的重要组件。Agent会定期收集并向McAfee ePO服务器发送事件信息，它还负责安装和更新终端产品，任何需要管理的网络系统上都必须要安装。

OpenSSL组件漏洞会导致用户权限提升

Agent中含有一个漏洞，该漏洞被编号为CVE-2022-0166，CVSS基本危急等级被评定为7.8，该漏洞是由卡内基梅隆大学CERT协调中心(CERT/CC)的Will Dormann发现的。 周四，CERT/CC发布公告称，该漏洞是在Agent中的一个OpenSSL组件中发现的，该组件将OPENSSLDIR变量定义为了一个子目录，该目录可能会被Windows上的非特权用户控制。 根据该公告，McAfee Agent 中包含了一个使用该OpenSSL组件的特权服务。用户可以将特制的openssl.cnf文件放在适当路径上，那么该工具就能够以SYSTEM权限实现任意代码执行操作。 安全专家所谈的openssl.cnf，实际上是OpenSSL的一个配置文件。该文件可以为证书文件位置等项目提供SSL默认值以及保存安装时输入的各种网站信息。

执行任意shell代码

McAfee在其公告中说，Agent中的第二个漏洞被追踪为CVE-2021-31854，CVSS关键性评级为7.7，该漏洞可以被本地用户利用，并向文件中注入任意的shell代码。据该公司称，攻击者可以利用这个安全漏洞获得一个反向的shell，使他们能够获得root权限。 该漏洞的发现者Russell Wells分析称，这是McAfee Agent for Windows在5.7.5之前的一个命令注入漏洞。 McAfee说，它允许本地用户在文件cleanup.exe中注入任意的shell代码。 McAfee称，恶意的clean.exe文件会被释放到相关文件夹内，并通过运行于系统树中的McAfee Agent部署功能来执行，攻击者可能会利用该漏洞获得反向shell，这可能会使得攻击者提升权限来进行攻击。 Wells告诉媒体，利用这个漏洞需要访问McAfee ePO主机，也就是底层Windows主机，而不是应用程序本身。

攻击者获取权限后可以肆意妄为

利用特权升级漏洞，威胁者可以对那些一般情况下被锁定保护的数据进行攻击。攻击者可以利用这些权限来窃取机密数据、运行管理命令、从文件系统中读取文件和部署恶意软件，甚至可以在攻击期间逃避安全软件检测。 这并不是第一次在McAfee的代理中出现特权升级漏洞。几个月前，在9月，该安全公司修补了一个由Tenable安全研究员Clément Notin发现的此类漏洞(CVE-2020-7315)。 该漏洞会导致McAfee Agent中的DLL注入攻击，可能会允许本地管理员在不知道McAfee密码的情况下关闭或篡改防病毒软件。 本文翻