Un investigador de seguridad ha revelado los detalles técnicos de una vulnerabilidad de elevación de privilegios de día cero de Windows y una prueba de concepto (PoC) pública capaz de otorgar privilegios del sistema bajo ciertas condiciones.
Si bien es extremadamente peligroso y de alto riesgo, la buena noticia es que dichos exploits requieren que los atacantes conozcan los nombres de usuario y las contraseñas de otros usuarios para activar la vulnerabilidad, por lo que es poco probable que se abuse de ellos en los ataques.
La mala noticia es que afecta a todas las versiones de Windows, incluidas Windows 10, Windows 11 y Windows Server 2022.
Omitir parche de vulnerabilidad
En agosto, Microsoft lanzó una actualización de seguridad para la “vulnerabilidad de elevación de privilegios del servicio de perfil de usuario de Windows” que fue rastreada como CVE-2021-34484 y descubierta por el investigador de seguridad Abdelhamid Naceri.
Después de verificar la solución, Naceri descubrió que el parche no era suficiente y que podía superarlo con un nuevo exploit que publicó en GitHub.
“Técnicamente, en el informe anterior CVE-2021-34484. Describí un error en el que se podía abusar del servicio de creación de perfiles de usuario para crear un segundo cruce”, explica Naceria en un documento técnico sobre la nueva vulnerabilidad y la omisión. Pero como veo en el aviso de ZDI y el parche de Microsoft, el error se mide como un error de eliminación de directorio arbitrario. Microsoft no parcheó lo que se proporcionó en el informe, solo destacó el impacto de la PoC. Dado que el PoC que escribí anteriormente era terrible, solo podía reproducir el error de eliminación del directorio”, dijo Naceri.
Naceri dijo que dado que solo arreglaron los síntomas del informe de error y no la causa real, podía revisar el exploit para crear un cruce en otro lugar y aún alcanzar la elevación de privilegios.
Este exploit hará que se inicie un símbolo del sistema elevado con privilegios del sistema cuando se muestre el comando Control de cuentas de usuario (UAC).
Will Dormann, analista de vulnerabilidades de CERT/CC, probó la vulnerabilidad y descubrió que, si bien funcionaba, no siempre creaba un símbolo del sistema elevado.
Sin embargo, en otra prueba, inicia inmediatamente un símbolo del sistema elevado, como se muestra a continuación.
Dado que este error requiere que los piratas informáticos conozcan los nombres de usuario y las contraseñas de otros usuarios, no se abusará tanto como otra vulnerabilidad de elevación de privilegios que hemos visto recientemente, PrintNightmare.
“Obviamente sigue siendo un problema. Y puede haber escenarios en los que se puede abusar. Pero el requisito de 2 cuentas probablemente lo coloca en la categoría de los exploits más utilizados”, dijo Dormann.
Sin embargo, Naceri dijo que los piratas informáticos solo necesitaban otra cuenta de dominio para explotar la vulnerabilidad, por lo que aún debería ser una preocupación.
Microsoft dijo que están al tanto del problema y lo están investigando.
“Estamos al tanto del informe y tomaremos las medidas apropiadas para mantener a los clientes protegidos”, dijo un portavoz de Microsoft.
