CVE-2021-34484 è una vulnerabilità di sicurezza di Microsoft, originariamente patchato ad agosto ma ora sfruttabile con un bypass di patch. La vulnerabilità potrebbe consentire l'escalation dei privilegi locali da un utente normale a System. È stato scoperto dal ricercatore di sicurezza Abdelhamid Naceri.
Correlata: Windows 10 è stato violato 5 Tempi durante la Coppa Tianfu 2021
Chi è interessato? L'impatto del difetto include Windows 10 (entrambi 32- e 64 bit), versioni v21H1, v20H2, v2004 e v1909, e Windows Server 2019 64-bit.
Per fortuna, una micropatch non ufficiale di oPatch è ora disponibile per risolvere il vecchio e nuovo problema.
CVE-2021-34484: Vulnerabilità legata all'acquisizione di privilegi da parte del servizio profili utente di Windows
Come già accennato, il difetto, originariamente classificato come un problema di cancellazione arbitraria di directory, è stato patchato come parte di agosto di Microsoft 2021 Patch Martedì. Originariamente, perché il bug richiedeva a un utente malintenzionato di accedere localmente a una macchina vulnerabile, era considerato di bassa priorità.
Tuttavia, poco dopo la sua scoperta, anche il ricercatore di sicurezza Abdelhamid Naceri si è reso conto che il bug potrebbe essere sfruttato negli attacchi di escalation dei privilegi. Ciò ha conferito alla vulnerabilità un livello di minaccia completamente diverso, poiché gli utenti a livello di sistema hanno accesso a varie risorse di rete, inclusi database e server.
Il ricercatore ha anche ispezionato la patch iniziale di Microsoft per CVE-2021-34484, e ha scoperto un bypass per questo tramite un semplice tweak nel codice exploit che aveva sviluppato. Ciò ha successivamente modificato lo stato della vulnerabilità in zero-day.
Come si può sfruttare la vulnerabilità??
Secondo Mitja Kolsek di 0Patch, “il punto cruciale dell'attacco sta nel creare rapidamente un collegamento simbolico nella cartella del profilo utente temporaneo (C:\UtentiTEMP) in modo che quando il servizio profili utente copia una cartella dalla cartella del profilo originale dell'utente, finirà per creare una cartella da qualche altra parte – dove l'attaccante normalmente non avrebbe le autorizzazioni per crearne uno”.
Quando il servizio profili utente copia una cartella dalla cartella del profilo originale dell'utente, il collegamento simbolico lo costringerà a creare una cartella contenente un payload DLL dannoso in una posizione in cui l'attaccante non avrebbe normalmente le autorizzazioni.
La micropatch non ufficiale risolve il problema estendendo il controllo di sicurezza per i collegamenti simbolici all'intero percorso di destinazione e chiamando la funzione "GetFinalPathNameByHandle".
"La nostra micropatch estende il controllo di sicurezza incompleto dalla correzione di Microsoft all'intero percorso di destinazione chiamando GetFinalPathNameByHandle e risolvendo così eventuali collegamenti simbolici che può contenere. Poi, confrontando il percorso originale e il “risolto” il percorso, determina se sono presenti collegamenti simbolici; altrimenti, l'esecuzione del codice originale viene ripresa, in caso contrario la creazione di un profilo utente temporaneo viene interrotta," 0Patch spiegato.
"Le micropatch per questa vulnerabilità saranno gratuite fino a quando Microsoft non avrà rilasciato una correzione ufficiale,” ha aggiunto la squadra.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: