微软CVE-2025-21204符号链接漏洞补丁引发新拒绝服务漏洞

微软近期修复了CVE-2025-21204漏洞，该漏洞允许用户通过滥用符号链接，利用Windows服务堆栈和c:\inetpub文件夹提升权限。

为修复此问题，微软在2025年4月及之后的Windows操作系统更新中，在所有Windows系统上预先创建了c:\inetpub文件夹。

然而，我发现这个修复方案在Windows服务堆栈中引入了一个拒绝服务漏洞，允许非管理员用户阻止所有未来的Windows安全更新。

漏洞原理

非管理员（和管理员）用户可以在c:\目录下创建交接点。因此非管理员用户只需按下Windows+R，输入cmd，然后运行：

1

mklink /j c:\inetpub c:\windows\system32\notepad.exe

这将在c:\inetpub和记事本程序之间创建符号链接。此后，2025年4月的Windows操作系统更新（以及未来的更新，除非微软修复此问题）将无法安装——它们会报错和/或回滚。这样系统就无法获得安全更新。

我在大约两周前向MSRC报告了此问题，但尚未收到回复。

2025年4月25日更新：我已收到以下回复：

我的看法是，包括微软在内的EDR提供商可能需要在启动驱动器上检测从\inetpub创建的交接点，因为这个问题似乎不会很快得到修补，而且这是阻止Windows未来安全补丁的100%可靠方法。