CVE-2021-34484 ist eine Sicherheitslücke von Microsoft, ursprünglich im August gepatcht, aber jetzt mit einem Patch-Bypass ausnutzbar. Die Sicherheitsanfälligkeit kann eine lokale Rechteausweitung von einem normalen Benutzer auf System ermöglichen. Entdeckt hat es der Sicherheitsforscher Abdelhamid Naceri ..
verbunden: Fenster 10 Wurde gehackt 5 Zeiten während des Tianfu Cups 2021
Wer ist betroffen? Die Auswirkungen des Fehlers umfassen Windows 10 (beide 32- und 64-Bit), Versionen v21H1, v20H2, v2004 und v1909, und Windows Server 2019 64-Bit.
Zum Glück, ein inoffizieller Mikropatch von oPatch ist jetzt verfügbar, um das alte-neue Problem zu beheben.
CVE-2021-34484: Sicherheitsanfälligkeit bezüglich Erhöhung von Berechtigungen im Windows-Benutzerprofildienst
Wie bereits erwähnt, Der Fehler, ursprünglich als willkürliches Problem beim Löschen von Verzeichnissen klassifiziert, wurde im Rahmen von Microsofts August . gepatcht 2021 Patchday. Ursprünglich, weil der Fehler einen Angreifer erforderte, sich lokal bei einem anfälligen Computer anzumelden, es wurde als niedrig eingestuft.
Jedoch, kurz nach seiner Entdeckung, Der Sicherheitsforscher Abdelhamid Naceri erkannte auch, dass der Fehler bei Angriffen zur Eskalation von Privilegien ausgenutzt werden könnte. Dies gab der Schwachstelle eine ganz andere Bedrohungsstufe, da Benutzer auf Systemebene Zugriff auf verschiedene Netzwerkressourcen haben, einschließlich Datenbanken und Server.
Der Forscher untersuchte auch den ersten Patch von Microsoft für CVE-2021-34484, und entdeckte eine Umgehung dafür durch eine einfache Optimierung des von ihm entwickelten Exploit-Codes. Dies änderte daraufhin den Status der Schwachstelle auf Zero-Day.
Wie kann die Schwachstelle ausgenutzt werden?
Laut Mitja Kolsek von 0Patch, „Der Kern des Angriffs besteht darin, schnell einen symbolischen Link im temporären Benutzerprofilordner zu erstellen (C:\BenutzerTEMP) Wenn der Benutzerprofildienst einen Ordner aus dem ursprünglichen Profilordner des Benutzers kopiert, es wird am Ende einen Ordner woanders erstellen – wo der Angreifer normalerweise keine Berechtigungen hat, um einen zu erstellen.“
Wenn der Benutzerprofildienst einen Ordner aus dem ursprünglichen Profilordner des Benutzers kopiert, Der symbolische Link zwingt es, einen Ordner mit einer schädlichen DLL-Nutzlast an einem Ort zu erstellen, an dem der Angreifer normalerweise keine Berechtigungen hat.
Der inoffizielle Micropatch behebt das Problem, indem er die Sicherheitsprüfung für symbolische Links auf den gesamten Zielpfad ausdehnt und die Funktion „GetFinalPathNameByHandle“ aufruft.
„Unser Micropatch erweitert die unvollständige Sicherheitsprüfung von Microsofts Fix auf den gesamten Zielpfad, indem er GetFinalPathNameByHandle aufruft und damit alle darin enthaltenen symbolischen Links auflöst.“. Dann, durch Vergleich des ursprünglichen Pfades und der “aufgelöst” Weg, es bestimmt, ob symbolische Links vorhanden sind; wenn nicht, Die Ausführung des ursprünglichen Codes wird wieder aufgenommen, andernfalls wird die Erstellung eines temporären Benutzerprofils abgebrochen," 0Patch erklärt.
„Micropatches für diese Sicherheitsanfälligkeit sind kostenlos, bis Microsoft einen offiziellen Fix herausgegeben hat“,“ fügte das Team hinzu.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: