Μια ευπάθεια local privilege escalation (LPE) που επηρεάζει όλες τις συσκευές Windows 7 και Server 2008 R2 διορθώθηκε σήμερα μέσω της πλατφόρμας 0patch.
Το zero-day επηρεάζει όλες τις συσκευές που έχουν επηρεαστεί από το Extended Security Updates (ESU) της Microsoft.
Προς το παρόν, μόνο οι μικρές και μεσαίες επιχειρήσεις ή οργανισμοί με συμφωνίες αδειοδότησης μπορούν να λάβουν άδεια ESU έως τον Ιανουάριο του 2023.
Η ευπάθεια LPE προέρχεται από την εσφαλμένη διαμόρφωση δύο κλειδιών μητρώου υπηρεσίας και επιτρέπει στους τοπικούς εισβολείς να αυξήσουν τα προνόμιά τους σε οποιοδήποτε πλήρως ενημερωμένο σύστημα Windows 7 και Server 2008 R2.
Ανακαλύφθηκε από τον ερευνητή ασφαλείας Clément Labro, ο οποίος δημοσίευσε την έρευνά του νωρίτερα αυτό το μήνα, αναφέροντας πώς τα ανασφαλή δικαιώματα στα κλειδιά μητρώου
HKLM\SYSTEM\CurrentControlSet\Services\Dnscache and HKLM\SYSTEM\CurrentControlSet\Services\RpcEptMapper
επιτρέπουν στους εισβολείς να εξαπατήσουν την υπηρεσία RPC Endpoint Mapper για φόρτωση κακόβουλων DLL.
Αυτό τους επιτρέπει να αποκτήσουν αυθαίρετη εκτέλεση κώδικα στο πλαίσιο της υπηρεσίας Windows Management Instrumentation (WMI) που εκτελείται με δικαιώματα LOCAL SYSTEM.
“Εν ολίγοις, ένας τοπικός χρήστης που δεν είναι διαχειριστής στον υπολογιστή δημιουργεί ένα δευτερεύον κλειδί, το συμπληρώνει με ορισμένες τιμές και ενεργοποιεί την παρακολούθηση της απόδοσης, η οποία οδηγεί μια διεργασία του τοπικού συστήματος (WmiPrvSE.exe) να φορτώσει στο DLL του εισβολέα και να τρέξει κώδικα από αυτό” αναφέρει ο Mitja Kolsek.
Δωρεάν ενημέρωση για όλα τα επηρεαζόμενα συστήματα των Windows
Οι ενημερώσεις της 0patch αποστέλλεται μέσω της πλατφόρμας 0patch σε υπολογιστές-πελάτες Windows για την επιδιόρθωση προβλημάτων ασφαλείας σε πραγματικό χρόνο και εφαρμόζονται σε τρέχουσες διαδικασίες χωρίς να απαιτείται επανεκκίνηση συστήματος.
Αυτό το micropatch είναι διαθέσιμο δωρεάν σε όλους, έως ότου η Microsoft κυκλοφορήσει μια επίσημη επιδιόρθωση για το κενό και για την αντιμετώπιση προβλημάτων της κακής άδειας μητρώου.
Το micropatch “σαμποτάρει τις λειτουργίες παρακολούθησης της απόδοσης για τις δύο επηρεαζόμενες υπηρεσίες, Dnsclient και RpcEptMapper”, αναφέρει η 0patch.
Source code of the micropatch. It simply sabotages performance monitoring operations for the two affected services, Dnsclient and RpcEptMapper. (If perf monitoring is needed, the micropatch can be temporarily disabled.) pic.twitter.com/pbqtyzIzgt
— 0patch (@0patch) November 25, 2020
Παρακάτω ακολουθεί ένα βίντεο που δείχνει πως μπλοκάρει το exploit:
