CVE-2021-34484 es una vulnerabilidad de seguridad de Microsoft, originalmente parcheado en agosto, pero ahora explotable con una omisión de parche. La vulnerabilidad podría permitir la escalada de privilegios locales de un usuario normal a System. Fue descubierto por el investigador de seguridad Abdelhamid Naceri..
Relacionado: Ventanas 10 Fue hackeado 5 Tiempos durante la Copa Tianfu 2021
¿Quién se ve afectado? El impacto de la falla incluye Windows 10 (ambos 32- y 64 bits), versiones v21H1, v20H2, v2004 y v1909, y Windows Server 2019 64-bit.
Afortunadamente, un microparche no oficial de oPatch ahora está disponible para abordar el problema antiguo-nuevo.
CVE-2021-34484: Vulnerabilidad de elevación de privilegios del servicio de perfiles de usuario de Windows
Como ya se ha mencionado, la falla, originalmente clasificado como un problema de eliminación de directorio arbitrario, fue parcheado como parte de agosto de Microsoft 2021 Martes de parches. Originalmente, porque el error requería que un atacante iniciara sesión localmente en una máquina vulnerable, se consideró de baja prioridad.
Sin embargo, poco después de su descubrimiento, El investigador de seguridad Abdelhamid Naceri también se dio cuenta de que el error podría aprovecharse en ataques de escalada de privilegios.. Esto le dio a la vulnerabilidad un nivel de amenaza completamente diferente., ya que los usuarios a nivel del sistema tienen acceso a varios recursos de red, incluyendo bases de datos y servidores.
El investigador también inspeccionó el parche inicial de Microsoft para CVE-2021-34484, y descubrió un desvío mediante un simple ajuste en el código de explotación que había desarrollado. Posteriormente, esto cambió el estado de la vulnerabilidad a día cero..
¿Cómo se puede aprovechar la vulnerabilidad??
Según Mitja Kolsek de 0Patch, “El quid del ataque es crear rápidamente un enlace simbólico en la carpeta de perfil de usuario temporal (C:\Usuarios TEMP) para que cuando el Servicio de perfiles de usuario copie una carpeta de la carpeta de perfil original del usuario, terminará creando una carpeta en otro lugar – donde el atacante normalmente no tendría permiso para crear uno ".
Cuando el servicio de perfiles de usuario copia una carpeta de la carpeta de perfil original del usuario, el enlace simbólico lo obligará a crear una carpeta que contenga una carga útil DLL maliciosa en una ubicación donde el atacante normalmente no tendría permisos.
El microparche no oficial soluciona el problema extendiendo la verificación de seguridad de los enlaces simbólicos a toda la ruta de destino y llamando a la función "GetFinalPathNameByHandle".
“Nuestro microparche extiende la verificación de seguridad incompleta de la solución de Microsoft a toda la ruta de destino llamando a GetFinalPathNameByHandle y resolviendo así cualquier enlace simbólico que pueda contener. Entonces, comparando la ruta original y la “resuelto” sendero, determina si hay enlaces simbólicos presentes; si no, se reanuda la ejecución del código original, de lo contrario, se anula la creación de un perfil de usuario temporal," 0Patch explicado.
“Los microparches para esta vulnerabilidad serán gratuitos hasta que Microsoft publique una solución oficial,"Agregó el equipo.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: