趋向科技防威胁工具包远程代码执行缝隙安全公告
颁布功夫 2019-10-23缝隙编号和级别
CVE编号：CVE-2019-9491，，，，，，，危险级别：高危，，，，，，，CVSS分值：官方未评定，，，，，，，厂商自评7.5
影响版本
ATTK 1.62.0.1218 及以下版本。。。。。
单机版影响 ATTK组件及其它部门（如 WCRY补丁工具、OfficeScanToolbox 等）
缝隙概述
趋向科技防威胁工具集（Anti-Threat Toolkit，，，，，，，简称 ATTK）中被曝存在一个缺点，，，，，，，可被黑客用于在受害者 Windows 推算机上运行恶意软件。。。。。
CVE-2019-9491由Hyp3rlinx发现。。。。。ATTK可被诱骗执行肆意软件，，，，，，，蕴含恶意软件在内。。。。。当恶意软件被扫描时，，，，，，，若是文件名是 cmd.exe 或 regedit.exe，，，，，，，那么恶意软件就会被执行。。。。。
若是恶意软件作者恰巧使用了易受攻击的定名约定‘cmd.exe’或‘regedit.exe’，，，，，，，ATTK 将会加载并执行肆意 .EXE 文件。。。。。当终端用户启动扫描时，，，，，，，恶意软件就可放在 ATTK左近。。。。。
ATTK 可被诱骗运行病毒。。。。。若是你可能通过下载器或邮件等方式在别人的电脑大将文件保留为cmd.exe 或 regedit.exe，，，，，，，那么攻击者就能够通过运行 ATTK执行恶意代码。。。。。
由于ATTK 是由经验证的颁布方署名的，，，，，，，因而若是恶意软件是从互联网高低载的，，，，，，，那么它会绕过任何可信的MOTW安全忠告，，，，，，，同时由于每次运行 ATTK 时也会运行恶意软件，，，，，，，因而它也成为一种悠久性机造。。。。。
缝隙验证
EXP：
通过如下 C 代码编译一个 .EXE，，，，，，，并使用“cmd.exe”或“regedit.exe”作为定名约定。。。。。运行 ATTK工具并观察 ATTK面板以查看木马文件被加载且执行的过程。。。。。
#include <windows.h>
void main(void){
puts("Trend Micro Anti-Threat Toolkit PWNED!");
puts("Discovery: hyp3rlinx");
puts("CVE-2019-9491\n");
WinExec("powershell", 0);
}
PoC 视频URL：
https://www.youtube.com/watch?v=HBrRVe8WCHs
建复建议
趋向科技现已将所有 ATTK更新至 1.62.0.1223版本。。。。。但尚未颁布细节。。。。。
https://success.trendmicro.com/solution/000149878
参考链接
http://hyp3rlinx.altervista.org/advisories/TREND-MICRO-ANTI-THREAT-TOOLKIT-(ATTK)-REMOTE-CODE-EXECUTION.txt
京公网安备11010802024551号