报告编号：B6-2021-070801
报告来源：360CERT
报告作者：360CERT
更新日期：2021-07-08
更新简介
1. Google Project Zero于07月08日公开了该漏洞细节
2.该漏洞无需用户交互，只要触发Defender对恶意文件的检测即可触发并利用漏洞
3.漏洞详情新增漏洞详细描述
漏洞简述
2021年07月08日，360CERT监测发现Google Project Zero发布了CVE-2021-31985的分析细节，漏洞等级：高危，漏洞评分：9.8。
Windows Defender 作为Windows的默认防线，其漏洞拥有极高的利用价值。因为默认可绕过Windwos系统防御机制，以及Defender本身以SYSTEM（最高权限运行），该漏洞是Defender对历史格式asprotect的虚拟执行造成，攻击者可以通过向用户发送恶意邮件，该邮件自动触发Defender扫描邮件附件，攻击者借此即可接管用户计算机。
对此，360CERT建议广大用户好资产自查以及预防工作，以免遭受黑客攻击。
风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 攻击者价值 | 极高 |
| 利用难度 | 高 |
| 360CERT评分 | 9.8 |
CVE-2021-31985: 代码执行漏洞
CVE: CVE-2021-31985
组件: Defender
漏洞类型: 代码执行
影响: 服务器接管
简述: Window Defender 在解析历史文件格式asprotect时采用了虚拟执行的方式，但由于解析过程中Defender以SYSTEM（最高权限）允许，并且对执行过程的DLL加载未进行严格的校验，导致远程任意代码执行。攻击者构造特制的二进制程序，通过邮件等方式投递到用户计算机无需用户打开，即可接管用户计算机。同时该漏洞可绕过Defender的防御策略。
该漏洞无需用户交互，只要触发Defender对恶意文件的检测即可触发并利用漏洞
影响版本
| 组件 | 影响版本 | 安全版本 |
|---|---|---|
| Windows:Defender | < 1.1.18200.3 | >=1.1.18200.3 |
修复建议
通用修补建议
根据影响版本中的信息，排查并升级到安全版本
Windows 在 6月补丁日已针对该漏洞发布修复程序，请用户开启 Window 自动更新以获得补丁安装。
360CERT建议通过安装360安全卫士进行一键更新。
应及时进行Microsoft Windows版本更新并且保持Windows自动更新开启。
Windows server / Windows 检测并开启Windows自动更新流程如下：
- 点击开始菜单，在弹出的菜单中选择“控制面板”进行下一步。
- 点击控制面板页面中的“系统和安全”，进入设置。
- 在弹出的新的界面中选择“windows update”中的“启用或禁用自动更新”。
- 然后进入设置窗口，展开下拉菜单项，选择其中的自动安装更新（推荐）。
