未修补的未经授权文件读取漏洞会影响Microsoft Windows操作系统
已发布非官方补丁，以修复未正确修补的Windows安全漏洞，该漏洞可能允许在易受攻击的系统上进行信息泄露和本地权限提升（LPE）。
该漏洞被追踪为CVE-2021-24084（CVSS分数：5.5），与Windows Mobile设备管理组件中的信息泄露漏洞有关，该漏洞可使攻击者获得未经授权的文件系统访问权限并读取任意文件。
2020年10月，安全研究员Abdelhamid Naceri被发现发现并报告了这个bug，促使微软将其作为2021年2月补丁星期二更新的一部分来解决。
但是正如Naceri在2021年6月所观察到的那样，该补丁不仅可以绕过以达到同样的目的，本月研究人员还发现，未完全修补的漏洞也可以被利用来获得管理员权限，并在运行最新安全更新的Windows 10机器上运行恶意代码。
“也就是说，正如HiveNightmare/SeriousSAM教给我们的那样，如果你知道要获取哪些文件以及如何处理这些文件，那么任意的文件泄露可以升级为本地权限升级，”0patch联合创始人Mitja Kolsek上周在一篇帖子中说。
但是，值得注意的是，只有在特定情况下，即在C:Drive上启用系统保护功能，并且计算机上至少设置了一个本地管理员帐户时，才能利用该漏洞来完成权限升级。
Windows服务器和运行Windows 11的系统都不受该漏洞的影响，但以下Windows 10版本受影响—；
- Windows 10 V21H1（32和64位）2021年11月更新更新
- Windows 10 V20H2（32和64位）2021年11月更新更新
- Windows 10 V2004（32和64位）更新与2021年11月更新
- Windows 10 V09（32和64位）2021年11月更新更新
- Windows 10 V803（32和64位）2021年11月更新更新
- Windows 10 V1809（32和64位）2021年5月更新更新
CVE-2021-24084也是第三个零日Windows漏洞，由于微软发布的补丁不完整，该漏洞再次出现。本月早些时候，0patch为Windows用户配置文件服务中的本地权限升级漏洞（CVE-2021-34484）提供了非官方修复程序，该漏洞使攻击者能够获得系统权限。
然后在上周，Naceri披露了Microsoft Windows Installer服务（CVE-2021-41379）中另一个零日漏洞的详细信息，可以绕过该漏洞在运行最新Windows版本的设备上获得更高的权限，包括Windows 10、Windows 11和Windows Server 2022。
