漏洞概述

CVE-2021-47867 是 WIN-PACK PRO4.8 软件中 ScheduleService 组件存在的一个未加引号服务路径（Unquoted Service Path）漏洞。该漏洞允许本地低权限用户通过在服务可执行文件路径中注入恶意程序，在服务启动时以 SYSTEM 权限执行任意代码，从而实现权限提升。

漏洞详情

  • CVE 编号：CVE-2021-47867
  • 漏洞类型：未加引号的服务路径（CWE-428）
  • CVSS 评分：CVSS v3.1 评分为 7.8（HIGH），CVSS v4.0 评分为 8.5（HIGH）
  • 影响版本：WIN-PACK PRO 4.8

影响范围

该漏洞影响使用 WIN-PACK PRO 4.8 版本的系统，特别是其中安装并运行了 ScheduleService 服务的 Windows 环境。攻击者需具备本地低权限账户访问能力。

风险分析

由于服务路径未使用引号包裹（例如：C:\Program Files \WINPAKPRO\ScheduleService Service.exe），Windows 在解析路径时会尝试依次查找 C:\Program.exe、C:\Program Files.exe 等可能存在的可执行文件。若攻击者能在这些路径下写入恶意程序（如 C:\Program.exe），则可在服务启动时以 SYSTEM 权限执行恶意代码，导致完整的本地权限提升，进而完全控制系统。

修复建议

  • 建议用户尽快联系 Honeywell 官方获取安全更新或升级至不受影响的 WIN-PACK 版本。
  • 临时缓解措施：手动为 ScheduleService 的可执行路径添加双引号（例如："C:\Program Files (x86)\WINPAKPRO\ScheduleService Service.exe"），并确保非特权用户无法在 C:\Program Files 或其父目录写入文件。

参考链接