Опубликован PoC-код для эксплуатации уязвимости в Windows от 2006 года
12 декабря 2020 года
Исследователь безопасности Дэвид Уэллс (David Wells) из Tenable опубликовал подробную информацию и PoC-код для эксплуатации неисправленной уязвимости повышения привилегий в Windows, связанной с инструментом администрирования PsExec.
Информация об уязвимости была раскрыта, поскольку Microsoft не выпустила исправление в течение 90 дней после уведомления. Microsoft не сообщила, когда и будет ли вообще исправлять уязвимость, но отметила что данный «метод требует от злоумышленника предварительно скомпрометировать целевое устройство для запуска вредоносного кода».
По словам Уэллса, уязвимость локального повышения привилегий может быть использована неадминистративным процессом для повышения привилегий до уровня SYSTEM, когда PsExec выполняется удаленно или локально на устройстве.
Как отметил эксперт, проблема затрагивает версии Windows от Windows XP до Windows 10 и версии PsExec от 1.7.2 (выпущенной в 2006 году) до 2.2 (последней).
PsExec, входящий в набор утилит Windows Sysinternals, позволяет пользователям выполнять процессы на удаленных системах Windows без необходимости установки стороннего программного обеспечения. Уэллс отметил, что PsExec содержит встроенный ресурс с именем PSEXESVC, который выполняется на удаленном компьютере с привилегиями SYSTEM при использовании клиента PsExec.
«Связь между клиентом PsExec и удаленной службой PSEXESVC осуществляется по именованным каналам. В частности, канал с именем \PSEXESVC отвечает за синтаксический анализ и выполнение команд клиента PsExec, таких как «какое приложение выполнять», «соответствующие данные командной строки» и прочее, — пояснил исследователь.
Хотя обычно пользователям с низким уровнем привилегий не предоставляется доступ для чтения/записи к этому каналу \PSEXESVC, злоумышленник может использовать метод, известный как pipe squatting, для достижения этой цели. При этом злоумышленник создает именованный канал \PSEXESVC перед выполнением процесса PSEXESVC, в результате чего получает доступ для чтения/записи к каналу, позволяя своему низкопривилегированному приложению взаимодействовать с PSEXESVC по этому каналу и запускаться с правами SYSTEM.
Если злоумышленник воспользуется уязвимостью, ему потребуется получить доступ с низким уровнем привилегий к целевой системе, развернуть свое вредоносное приложение, создать канал \PSEXESVC и дождаться, пока целевой пользователь выполнит PsExec (локально или удаленно). Последнее требование может снизить вероятность использования уязвимости в реальных атаках.
Источники править
Эта статья содержит материалы из статьи «Опубликован PoC-код для эксплуатации уязвимости в Windows от 2006 года», опубликованной на сайте SecurityLab.ru и распространяющейся на условиях лицензии Creative Commons Attribution 3.0 Unported (CC-BY 3.0 Unported). |
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.