CVE-2016-20059 CVSS 7.8 高危

CVE-2016-20059 IObit权限提升漏洞

披露日期: 2026-04-04

来源: [email protected]

漏洞信息

漏洞编号

CVE-2016-20059

漏洞类型

未引用服务路径

CVSS评分

7.8 高危

攻击向量

本地 (AV:L)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

IObit Malware Fighter

漏洞概述

IObit Malware Fighter 4.3.1存在未引用服务路径漏洞。该漏洞影响IMFservice和LiveUpdateSvc服务，由于其服务路径包含空格且未加引号，本地攻击者可在特定目录放置恶意程序。当服务重启或系统重启时，恶意程序将以LocalSystem权限执行，从而实现本地权限提升。

技术细节

该漏洞的核心在于Windows服务路径解析机制。当服务路径中包含空格（如“Program Files”）且未被引号包裹时，Windows服务控制管理器（SCM）在启动服务时会尝试按空格分隔执行路径。例如，路径`C:\Program Files\IObit\service.exe`会被解析为优先尝试执行`C:\Program.exe`，其次尝试`C:\Program Files\IObit.exe`，最后才是正确路径。在IObit Malware Fighter 4.3.1中，IMFservice和LiveUpdateSvc服务存在此配置错误。攻击者只需拥有普通用户权限，即可在易受攻击的父目录（如C:\）创建命名为`Program.exe`的恶意文件。一旦服务自动重启或系统重启，SCM便会错误地加载并执行攻击者的恶意文件。由于服务默认以LocalSystem高权限运行，攻击者的代码随之获得系统最高控制权，完成权限提升。

攻击链分析

STEP 1

侦察

攻击者检查系统中 IObit Malware Fighter 的服务配置，发现 IMFservice 和 LiveUpdateSvc 的路径未加引号且包含空格。

STEP 2

准备

攻击者编写恶意可执行文件（如后门或添加用户的脚本），并将其命名为易受攻击路径片段的名称（例如 Program.exe）。

STEP 3

投递

攻击者利用低权限账户，将恶意文件放置在未引用路径的截断位置（例如 C:\Program.exe）。

STEP 4

触发

等待服务自动重启、系统重启，或者攻击者手动重启受影响的服务。

STEP 5

执行与提权

Windows 服务控制管理器错误地执行攻击者放置的文件，该文件以 LocalSystem 权限运行，从而完成权限提升。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#include <windows.h>

// This is a proof of concept payload for CVE-2016-20059
// Compile this and place it as C:\Program.exe (or other vulnerable path segments)
// When the service restarts, this code will execute with SYSTEM privileges.

int WINAPI WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) {
    // Malicious code execution here
    // For demonstration, we just launch a message box or create a user
    
    // Example: Add a new user to the system (requires SYSTEM privs)
    // system("net user hacker P@ssw0rd /add");
    // system("net localgroup administrators hacker /add");
    
    MessageBox(NULL, "CVE-2016-20059 Exploit Executed with SYSTEM Privileges", "PoC", MB_OK);
    return 0;
}

影响范围

IObit Malware Fighter 4.3.1

防御指南

临时缓解措施

建议立即升级IObit Malware Fighter至最新版本。若无法升级，需手动打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IMFservice和LiveUpdateSvc，将其ImagePath的值用双引号括起来（例如将 "C:\Program Files\...\service.exe" 修改为 ""C:\Program Files\...\service.exe""），并重启服务生效。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表