CVE-2021-34484 é uma vulnerabilidade de segurança da Microsoft, originalmente corrigido em agosto, mas agora explorável com um desvio de patch. A vulnerabilidade pode permitir o escalonamento de privilégios locais de um usuário regular para o sistema. Foi descoberto pelo pesquisador de segurança Abdelhamid Naceri.
relacionado: janelas 10 foi hackeado 5 Horários durante a Copa Tianfu 2021
Quem é afetado? O impacto da falha inclui o Windows 10 (ambos 32- e 64 bits), versões v21H1, v20H2, v2004 e v1909, e Windows Server 2019 64-mordeu.
Felizmente, um micropatch não oficial da oPatch agora está disponível para resolver o problema antigo-novo.
CVE-2021-34484: Vulnerabilidade de elevação de privilégio do serviço de perfil de usuário do Windows
Como já mencionado, a falha, originalmente classificado como um problema de exclusão de diretório arbitrário, foi corrigido como parte do programa de agosto da Microsoft 2021 patch Tuesday. Originalmente, porque o bug exigia que um invasor se conectasse localmente a uma máquina vulnerável, foi considerado de baixa prioridade.
Contudo, logo após sua descoberta, o pesquisador de segurança Abdelhamid Naceri também percebeu que o bug poderia ser explorado em ataques de escalonamento de privilégios. Isso deu à vulnerabilidade um nível de ameaça totalmente diferente, já que os usuários de nível de sistema têm acesso a vários recursos de rede, incluindo bancos de dados e servidores.
O pesquisador também inspecionou o patch inicial da Microsoft para CVE-2021-34484, e descobriu um desvio para ele por meio de um simples ajuste no código de exploração que ele desenvolveu. Posteriormente, isso mudou o status da vulnerabilidade para dia zero.
Como a vulnerabilidade pode ser explorada?
De acordo com Mitja Kolsek da 0Patch, “O ponto crucial do ataque está na criação rápida de um link simbólico na pasta temporária de perfil de usuário (C:\Usuários TEMP) de modo que quando o Serviço de Perfil de Usuário copia uma pasta da pasta de perfil original do usuário, vai acabar criando uma pasta em outro lugar – onde o invasor normalmente não teria permissão para criar um. ”
Quando o Serviço de Perfil de Usuário copia uma pasta da pasta de perfil original do usuário, o link simbólico o forçará a criar uma pasta contendo uma carga DLL maliciosa em um local onde o invasor normalmente não teria permissões.
O micropatch não oficial corrige o problema estendendo a verificação de segurança de links simbólicos para todo o caminho de destino e chamando a função “GetFinalPathNameByHandle”.
“Nosso micropatch estende a verificação de segurança incompleta da correção da Microsoft para todo o caminho de destino, chamando GetFinalPathNameByHandle e, assim, resolvendo quaisquer links simbólicos que ele possa conter. Então, comparando o caminho original e o “resolvido” caminho, determina se algum link simbólico está presente; se não, a execução do código original é retomada, caso contrário, a criação de um perfil de usuário temporário é abortada,” 0Patch explicou.
“Micropatches para esta vulnerabilidade serão gratuitos até a Microsoft lançar uma correção oficial,”A equipe acrescentou.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: