Windows Server 2025 Hyper-V VSP 特权提升漏洞曝光（CVE-2025-XXXX）

Windows Server 2025 Hyper-V VSP 发现严重特权提升漏洞

安全研究人员近日在 Microsoft Windows Server 2025 的 Hyper-V NT 内核集成虚拟服务提供程序（VSP） 中发现一处严重的特权提升漏洞。该漏洞已在 Exploit-DB（ID 52436）上公开发布的利用代码中得到验证，攻击者可通过该漏洞从来宾虚拟机（VM）提升权限至宿主机系统，进而威胁整个 Hyper-V 环境的安全。

技术细节

该漏洞位于 Hyper-V NT 内核集成 VSP 组件中，该组件负责宿主机与来宾 VM 之间的通信。尽管微软尚未为该漏洞分配 CVE 标识符，但已公开的漏洞利用代码展示了如何通过 VSP 内核模式驱动程序中的输入验证不当问题，在宿主机上以 SYSTEM 权限执行任意代码。

该漏洞的关键技术特征包括：

• 攻击向量：低权限访问的来宾 VM
• 影响：宿主机完全被攻陷（来宾到宿主机逃逸）
• 利用机制：通过精心构造的输入触发内存损坏
• 受影响组件：Hyper-V NT 内核集成 VSP（Windows Server 2025）

Exploit-DB 上公开的漏洞利用代码（ID 52436）提供了一个概念验证（PoC），展示了攻击者如何通过访问来宾 VM 触发该漏洞，进而在底层宿主机上获取提升的权限。

影响分析

此漏洞对使用 Windows Server 2025 进行虚拟化的组织构成严重风险，尤其是在托管非受信工作负载的多租户环境中。成功利用该漏洞可能导致：

• 从受感染的来宾 VM 完全接管宿主机
• 在同一宿主机上的其他 VM 之间进行横向移动
• 在宿主机层面进行数据泄露或部署勒索软件
• 绕过依赖 Hyper-V 隔离的安全控制

对于云服务提供商和在隔离 VM 中运行非受信代码的企业而言，该漏洞尤为严重，因为它破坏了来宾系统与宿主机之间的基本安全边界。

安全团队建议

微软目前尚未发布该漏洞的官方补丁。安全专业人员建议采取以下措施：

1. 关注更新：密切跟踪微软安全公告，留意即将发布的补丁及 CVE 分配情况。
2. 实施临时缓解措施：
   • 限制来宾 VM 的访问权限，仅允许受信用户和应用程序访问。
   • 启用 Hyper-V 屏蔽 VM（Shielded VMs） 以降低来宾到宿主机攻击的风险。
   • 在来宾 VM 配置中应用最小权限原则。
3. 加强检测：
   • 监控来自来宾 VM 的异常活动，例如意外的进程创建或特权提升尝试。
   • 在 Hyper-V 宿主机上部署**端点检测与响应（EDR）**解决方案，以检测异常行为。
4. 隔离关键工作负载：在补丁发布前，将高风险或非受信 VM 隔离至单独的 Hyper-V 宿主机上。

鉴于该漏洞可能导致宿主机完全被攻陷，且已有 PoC 利用代码公开，安全团队应在补丁发布后优先修复此漏洞。

原始漏洞利用详情请参阅 Exploit-DB 52436。