Um pesquisador de segurança revelou uma séria vulnerabilidade que afeta o Windows 10, Windows 11 e Windows Server. Explorando a vulnerabilidade, um invasor pode facilmente obter privilégios administrativos no sistema da vítima. Na verdade, uma falha de dia zero pode dar a um invasor acesso de administrador no Windows 11 e anteriores.
A descoberta e a revelação foram feitas por Abdelhamid Naceri, durante sua pesquisa sobre um patch da Microsoft para outra vulnerabilidade rastreada como CVE-2021-41379. Ele foi capaz de contornar o patch para a vulnerabilidade de elevação de privilégio do Windows Installer e também descobriu outro dia zero sério para o qual ele compartilhou uma exploração de prova de conceito.
Escrevendo sobre a exploração no GitHub, Naceri diz: “isso funciona em todas as instalações de suporte do Windows. Incluindo o Windows 11 e o Server 2022 com patch de novembro de 2021. Como alguns de vocês podem notar, isso também funciona em instalações de servidor. Embora a política de grupo por padrão não não permite que usuários padrão façam qualquer operação msi. O recurso de instalação administrativa parece estar contornando completamente a política de grupo “.
Ele continua explicando:
Esta variante foi descoberta durante a análise do patch CVE-2021-41379. o bug não foi corrigido corretamente, no entanto, em vez de descartar o bypass. Eu escolhi realmente descartar esta variante, pois é mais poderosa do que a original.
Naceri acrescenta:
Também me certifiquei de que a prova de conceito é extremamente confiável e não exige nada, então funciona em todas as tentativas. A prova de conceito sobrescreve a DACL do serviço de elevação do Microsoft Edge e se copia para o local do serviço e a executa para obter privilégios elevados. Embora essa técnica possa não funcionar em todas as instalações, porque as instalações do Windows, como o servidor 2016 e 2019, podem não ter o serviço de elevação. Eu deixei deliberadamente o código que assume [s] o arquivo aberto, então qualquer arquivo especificado no primeiro argumento será assumido com a condição de que a conta SYSTEM deve ter acesso a ele e o arquivo não deve estar em uso. Assim, você mesmo pode elevar seus privilégios.
Falha do dia zero pode dar a um invasor acesso de administrador no Windows 11 e anteriores
Como esta é uma vulnerabilidade de dia zero, não há patch no momento. Infelizmente, também não há solução alternativa conhecida no momento, mas há um conselho: “A melhor solução alternativa disponível no momento em que este documento foi escrito é esperar [que] a Microsoft libere um patch de segurança, devido à complexidade desta vulnerabilidade. Qualquer tentar corrigir o binário diretamente irá quebrar o instalador do Windows. Portanto, é melhor você esperar e ver como a Microsoft vai ferrar o patch novamente “.
O pesquisador finaliza emitindo um alerta sobre outra vulnerabilidade, cujos detalhes serão revelados quando a Microsoft corrigir esta primeira:
Enquanto eu estava trabalhando no bypass do patch CVE-2021-41379. Consegui produzir 2 pacotes msi, cada um deles acionando um comportamento único no serviço do instalador do Windows. Um deles é o desvio de CVE-2021-41379 e este. Decidi realmente não abandonar o segundo até que a Microsoft faça o patch deste aqui. Portanto, esteja pronto!
Mais detalhes estão disponíveis no GitHub.
