1、组件介绍

Win32k 是Windows子系统的内核模式部分，向用户代码提供了大量的系统服务，也跟Windows内核紧密接触。通过向内核注册一组出调（Callout）函数，介入内核的线程和进程管理等处理逻辑中。

2、漏洞描述

2021年5月14日，深信服安全团队监测到一则Win32k组件存在提权漏洞的信息，漏洞编号：CVE-2021-26900，漏洞威胁等级：高危。

该漏洞是由于将

CInteractionTrackerBindingManagerMarshaler中的

new_entry_id设置为0时

DirectComposition::CInteractionTrackerBindingManagerMarshaler::RemoveBindingManagerReferenceFromTrackerIfNecessary函数删除该对象的绑定但并不删除该对象，再次将new_entry_id置为非零并释放资源对象，当channel被提交后该对象将再次被绑定，即成功触发UAF，攻击者可利用该漏洞在低权限的情况下提升权限，最终获得系统最高权限。

Win32k存在于所有的Windows系统中，Windows系统作为当下最流行、使用最为广泛的操作系统，在全球各个地区都有相当大的使用量，中美两国是使用Windows系统最多的两个国家。

目前受影响的Win32k版本：

Windows Server, version 20H2 (Server Core Installation)

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 20H2 for x64-based Systems

Windows Server, version 2004 (Server Core installation)

Windows 10 Version 2004 for x64-based Systems

Windows 10 Version 2004 for ARM64-based Systems

Windows 10 Version 2004 for 32-bit Systems

Windows Server, version 1909 (Server Core installation)

Windows 10 Version 1909 for ARM64-based Systems

Windows 10 Version 1909 for x64-based Systems

Windows 10 Version 1909 for 32-bit Systems

1、如何检测组件系统是否安装该补丁

systeminfo | findstr “KB5000802”

2、官方修复建议

当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。链接如下：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-26900

打补丁方法:

选择操作系统对应的版本，下载相应的补丁后安装即可。