– Una vulnerabilidad de error de dÃa cero existente en el componente Windows Installer, que Microsoft ha intentado solucionar varias veces sin éxito, ahora recibe otra actualización menor. La actualización evitará que los piratas informáticos que aprovecharon el error de Zero Day obtengan acceso al sistema comprometido.
Este problema tiene un impacto en Windows 7 a Windows 10. Se sabe que el último intento de Microsoft para resolver el problema CVE-2020-16902 se llevó a cabo en octubre pasado. A fines de diciembre apareció un bypass, completo con Prueba de concepto (PoC).
Al instalar un paquete MSI, Windows Installer creará un script de reversión a través de msiexec.exe para revertir cualquier cambio si ocurre un error durante el proceso de instalación.
Un pirata informático con privilegios locales puede ejecutar el archivo exe aprovechando los permisos del sistema. Luego pueden reemplazar ese script de reversión con un archivo de registro que han modificado para contener su código malicioso.
La vulnerabilidad apareció en el radar de Microsoft y se solucionó en abril de 2019 (CVE-2019-0841). El investigador de vulnerabilidades Sandbox Escaper descubrió una solución de derivación a fines de mayo y ha publicado algunos de los detalles técnicos.
Luego, la historia se repite al menos cuatro veces, y Windows Installer aún se puede explotar para otorgar los derechos de acceso más altos a un dispositivo pirateado, al explotar el error Zero Day. El investigador de seguridad Abdelhamid Naceri ha encontrado con éxito una solución a este último bypass.
Mientras tanto, el CEO de ACROS Security, Mitja Kolsek, explicó cómo funciona el PoC de Naceri. El método es usar un script de reversión que cambia los siguientes valores en el registro:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesFaxImagePath a c:Windowstempasmae.exe
Como resultado, el Servicio de fax usará el archivo asmae.exe que fue atacado por el pirata informático cuando se ejecutaba el servicio. Los piratas informáticos explotan este servicio porque todos los usuarios con cualquier permiso tienen permiso para ejecutar y se ejecuta en el sistema local.
Hasta que Microsoft logre encontrar una solución permanente, por ahora lo que se puede hacer es usar la solución temporal que se ha proporcionado en la plataforma oPatch. La solución temporal es una sola instrucción que no requiere reiniciar el dispositivo. Aquà hay un video que demuestra la solución temporal:
