SafeBreach专家Alon Leviev发布了一款名为 Windows Downdate的工具，可用于对Windows 10、Windows 11 和 Windows Server 版本进行降级攻击。
这种攻击允许利用已经修补的漏洞，因为操作系统再次容易受到旧错误的影响。
Windows Downdate 是一个开源Python 工具，预编译为 Windows 可执行文件，可用于降级 Windows 10、Windows 11 和 Windows Server 的系统组件。
https://github.com/SafeBreach-Labs/WindowsDowndate
Leviev 分享了使用该工具的几个示例，它允许您回滚 Hyper-V 虚拟机管理程序（至两年前的版本）、Windows 内核、NTFS 驱动程序和过滤器管理器（至基础版本）的更新，以及其他 Windows 组件和之前应用的补丁。
通过 Windows Downdate，您可以控制 Windows 更新来降级并暴露DLL、驱动程序、NT 内核、安全内核、虚拟机管理程序、IUM trustlet 等中包含的过去的漏洞。
除了自定义降级之外，Windows Downdate 还包含 CVE-2021-27090、CVE-2022-34709、CVE-2023-21768 和 PPLFault 的补丁回滚的易于使用的示例，以及虚拟机管理程序降级的示例，内核，并绕过 UEFI VBS 块。
回想一下，专家在 Black Hat 2024 会议上首次谈论此攻击以及相关的0day漏洞（ CVE-2024-38202 和 CVE-2024-21302 ），当时他解释说使用该工具几乎是不可能的检测，因为 EDR 解决方案无法阻止攻击，并且 Windows 更新认为设备已完全更新。
我发现了多种禁用 Windows VBS 安全性的方法，包括 Credential Guard 和虚拟机管理程序保护的代码完整性 (HVCI)，即使在使用 UEFI 锁时也是如此。
据我所知，这是第一次在没有物理访问的情况下绕过VBS中的UEFI块。
结果，我能够让一台完全打过补丁的 Windows 机器容易受到数千个旧漏洞的影响，将已经打过补丁的漏洞变成 0 天，并使“完全打过补丁”这个词对于世界上任何 Windows 系统来说都毫无意义。
尽管 Microsoft 于 2024 年 8 月 7 日发布了更新 ( KB5041773 ) 来解决 Windows 安全内核模式 CVE-2024-21302 权限提升漏洞。
但该公司尚未修补Windows 更新堆栈权限提升漏洞 CVE -2024-38202。