HiveNightmare: Windows 10 e Windows 11 têm nova vulnerabilidade de segurança

Uma nova falha de segurança acaba de ser descoberta tanto no Windows 10 quanto no novo Windows 11 e que pode ser explorada para obter acesso administrativo ao registro. Uma vulnerabilidade de escalonamento de privilégio local foi descoberta no Windows 10 e pode ser usada para obter acesso a áreas do registro que de outra forma seriam inacessíveis. Por sua vez, esse acesso permite descobrir senhas, obter chaves de descriptografia DPAPI e muito mais. O problema também afeta o Windows 11.

Chamado de HiveNightmare (devido ao acesso que permite chegar ao registry hives), a vulnerabilidade de dia zero vem logo após a falha de segurança do PrintNightmare. Embora nenhum patch esteja disponível no momento, a Microsoft forneceu detalhes de uma solução alternativa nesse momento.

A vulnerabilidade permite o acesso não autorizado a seções muito confidenciais do registro, especificamente os arquivos de seção Security Account Manager (SAM), SYSTEM e SECURITY. O US-CERT consultivo adverte que a falha de segurança afeta o Windows versão 10 1809 e superior, e um pesquisador de segurança descobriu que isso inclui o Windows 11.

• A consultoria US-CERT alerta sobre o impacto potencial da falha, apontando uma série de resultados indesejáveis ??”incluindo, mas não se limitando a”:
• Extraia e aproveite hashes de senha de conta.
• Descubra a senha de instalação original do Windows.
• Obtenha as chaves DPAPI do computador, que podem ser usadas para descriptografar todas as chaves privadas do computador.
• Obtenha uma conta de máquina de computador, que pode ser usada em um ataque de bilhete prata.

HiveNightmare: Windows 10 e Windows 11 têm nova vulnerabilidade de segurança

A vulnerabilidade está sendo rastreada como CVE-2021-36934 e a Microsoft a descreve dizendo:

Existe uma vulnerabilidade de elevação de privilégio devido a listas de controle de acesso (ACLs) excessivamente permissivas em vários arquivos de sistema, incluindo o banco de dados do Gerenciador de contas de segurança (SAM). Um invasor que explorar com êxito esta vulnerabilidade pode executar código arbitrário com privilégios SYSTEM. Um invasor pode então instalar programas; visualizar, alterar ou excluir dados; ou crie novas contas com direitos de usuário totais. Um invasor deve ter a capacidade de executar código no sistema da vítima para explorar esta vulnerabilidade.

Foi o pesquisador de segurança Jonas Lyk quem descobriu e compartilhou detalhes da falha, com trabalho adicional fornecido por Benjamin Delpy. A pesquisa de Lyk também descobriu a vulnerabilidade do Windows 11:

yarh- for some reason on win11 the SAM file now is READ for users.
So if you have shadowvolumes enabled you can read the sam file like this:

I dont know the full extent of the issue yet, but its too many to not be a problem I think. pic.twitter.com/kl8gQ1FjFt

— Jonas L (@jonasLyk) July 19, 2021

A Microsoft compartilhou detalhes da seguinte solução alternativa que deve ajudar a mitigar a vulnerabilidade até que um patch seja produzido:

Restringir o acesso ao conteúdo de% windir% \system32\config

1. Abra o Prompt de Comando ou Windows PowerShell como administrador.
2. Execute este comando: icacls% windir% \ system32 \ config \ *. * / Inheritance: e

Excluir cópias de sombra do Volume Shadow Copy Service (VSS)

1. Exclua todos os pontos de restauração do sistema e volumes de sombra que existiam antes de restringir o acesso a% windir% \system32\config.
2. Crie um novo ponto de restauração do sistema (se desejar).

Impacto da solução alternativa A  exclusão de cópias de sombra pode afetar as operações de restauração, incluindo a capacidade de restaurar dados com aplicativos de backup de terceiros.