摘要
近日，我們在Check Point ZoneAlarm防火牆的TrueVector Internet Monitor服務中發現了一個漏洞，可導致本地攻擊者更改任意文件的文件權限。而在更改了文件權限之後，攻擊者可以覆蓋其內容，藉此在目標機器上獲得更高的權限。
測試版本
此漏洞已在ZoneAlarm Free Firewall v15.8.023.18219/TrueVector Internet Monitor v15.8.7.18219上成功驗證。
修復
Check Point發佈了修復此漏洞的新版本。而最新版本的ZoneAlarm Free Firewall為v15.8.043.18324，你可以從https://www.zonealarm.com/software/free-firewall/download下載。
在Windows 10的3月份累計更新中，也增加了對硬鏈接的安全處理措施。除非對目標文件進行寫訪問，否則將不會創建硬鏈接。
從Windows NT4開始，NTFS文件系統引入了硬鏈接這個概念，它可以讓一個文件可以擁有多個訪問路徑。而且移除源文件不會影響硬鏈接，移除硬鏈接也不會影響源文件，不過硬鏈接文件的任何更改都會影響到源文件
漏洞細節
TrueVector Internet Monitor服務以LocalSystem運行，它會定期在%ProgramData%\\CheckPoint\\ZoneAlarm\\Data\\文件夾中創建大量備份文件。在創建這些文件時，文件權限會被設置為對於已授權用戶能Full Control。本地攻擊者可以創建與備份文件同名的硬鏈接，從而更改另一個文件的權限。
在更改了文件權限之後，攻擊者就可以覆蓋其內容，並最終在目標機器上獲得更高的權限。你可以使用James Forshaw的CreateHardlink工具創建硬鏈接。
<code>CreateHardlink.exe "%ProgramData%\\CheckPoint\\ZoneAlarm\\Data\\bu_tosave.ndb" "%SystemRoot%\\win.ini"
CreateHardlink.exe "%ProgramData%\\CheckPoint\\ZoneAlarm\\Data\\bu_todelete.ndb" "%SystemRoot%\\win.ini"
/<code>
感謝你的閱讀！
<code>本文由白帽彙整理並翻譯，不代表白帽匯任何觀點和立場
來源：https://www.securify.nl/advisory/SFY20200317/zonealarm-truevector-internet-monitor-service-insecure-ntfs-permissions-vulnerability.html/<code>
閱讀更多 白帽子 的文章
