von Martin Brinkmann am 23. November 2021 in Sicherheit – Keine Kommentare
Der Sicherheitsforscher Abdelhamid Naceri hat gestern auf GitHub einen öffentlichen Exploit veröffentlicht, der es jedem ermöglicht, mit einem ungepatchten Exploit Administratorrechte auf Windows-Geräten zu erlangen. Der Exploit funktioniert laut Naceri auf allen unterstützten Client- und Serverversionen von Windows, einschließlich Windows 11 und Windows Server 2022 mit den neuesten Patches, Sicherheitspatches vom November 2021 zum Zeitpunkt des Schreibens installiert.
Wir haben dies bestätigt Exploit auf einem Windows 10 Version 21H2 Testsystem. Lokal auf einem Standardbenutzerkonto ausgeführt, haben wir es geschafft, mit dem Exploit erhöhte Berechtigungen zu erlangen. Bleeping Computer hat den Exploit ebenfalls getestet und festgestellt, dass er funktioniert.
Microsoft hat CVE-2021-41379 gepatcht in den Patches vom November 2021 eine Sicherheitsanfälligkeit bezüglich der Erhöhung von Berechtigungen durch Windows Installer, die auch von Naceri entdeckt wurde.
WERBUNG
Naceri fand eine Variante des gepatchten Exploits “während der Analyse von CVE-2021-41379” und stellte fest, dass das ursprüngliche Problem nicht korrekt gepatcht wurde. Er entschied sich gegen die Veröffentlichung eines Bypasses für den von Microsoft veröffentlichten Patch und erklärte, dass die neue Variante, die er stattdessen veröffentlichte, “leistungsstärker ist als die ursprüngliche”.
Der Forscher beschreibt den Proof of Concept folgendermaßen: :
Ich habe auch darauf geachtet, dass der Proof of Concept extrem zuverlässig ist und nichts erfordert, damit es bei jedem Versuch funktioniert. Der Machbarkeitsnachweis überschreibt die DACL des Microsoft Edge-Erhebungsdienstes und kopiert sich selbst an den Standort des Dienstes und führt ihn aus, um erhöhte Berechtigungen zu erhalten.
Diese Technik funktioniert zwar möglicherweise nicht bei jeder Installation, da Windows-Installationen wie Server 2016 und 2019 hat möglicherweise keinen Höhendienst. Ich habe den Code, der die Datei übernimmt, absichtlich offen gelassen, sodass jede im ersten Argument angegebene Datei mit der Bedingung übernommen wird, dass das SYSTEM-Konto darauf zugreifen muss und die Datei nicht verwendet werden darf. So können Sie Ihre Privilegien selbst erhöhen.
WERBUNG
Das Führen von Standardbenutzerkonten anstelle von Konten mit Administratorrechten gilt als gute Sicherheitspraxis, da dies die Auswirkungen erfolgreicher Exploits und Angriffe auf ein System einschränken kann.
Naceria stellt fest, dass sein Exploit nicht von einer Richtlinie betroffen ist, die Standardbenutzer daran hindern könnte, MSI-Vorgänge durchzuführen.
Er plant, die Umgehung der im November 2021 gepatchten Sicherheitsanfälligkeit zu verwerfen, nachdem Microsoft einen Patch für die in . besprochene Sicherheitsanfälligkeit erstellt hat dieser Artikel.
WERBUNG
Windows-Administratoren und -Benutzer sollten laut Naceri dennoch auf einen Patch warten, da “jeder Versuch, die Binärdatei direkt zu patchen, den Windows-Installer zerstört”.
Bleeping Computer fragte Naceri, warum er die Schwachstelle vor der Veröffentlichung nicht an Microsoft gemeldet hat. Naceri antwortete, dass dies eine Reaktion darauf ist, dass Microsoft Bug-Bountings für gemeldete Sicherheitslücken kürzt.
Jetzt: Führen Sie standardmäßig Standard- oder Administratorkonten?
WERBUNG