Des correctifs non officiels gratuits ont été publiés pour protéger les utilisateurs de Windows contre une vulnérabilité d'escalade de privilèges locaux (LPE) de jour zéro dans le service de gestion des appareils mobiles affectant Windows 10, version 1809 et versions ultérieures.
La faille de sécurité réside dans le paramétrage de 'Se connecter au travail ou à l'école' et dans l'ignorance d'un correctif publié par Microsoft en février pour corriger un bogue de divulgation d'informations enregistré sous le nom CVE-2021-24084.
Cependant, le chercheur en sécurité Abdelhamid Naceri (qui a également rendu compte de la vulnérabilité initiale) a découvert ce mois-ci que le incomplètement rembourré La faille pourrait également être exploitée pour obtenir des privilèges d'administrateur après avoir divulgué publiquement le bogue nouvellement découvert en juin.
'C'est-à-dire, comme HiveNightmare/SeriousSAM nous l'a appris, la divulgation arbitraire de fichiers peut être mise à niveau vers une élévation locale des privilèges si vous savez quels fichiers prendre et quoi en faire', a expliqué aujourd'hui Mitja Kolsek, co-fondateur de 0patch.
'Nous l'avons confirmé en utilisant la procédure décrite dans ce billet de blog par Raj Chandel en combinaison avec le bogue d'Abdelhamid et en étant capable d'exécuter le code en tant qu'administrateur local.'
Bien que Microsoft ait peut-être également remarqué la divulgation de Naceri en juin, la société n'a pas encore corrigé ce bogue LPE, qui expose les systèmes Windows 10 aux attaques avec les dernières mises à jour de sécurité de novembre 2021.
Heureusement, les attaquants ne peuvent exploiter la vulnérabilité que si deux conditions très spécifiques sont remplies :
- La protection du système doit être activée sur le lecteur C et au moins un point de restauration doit être créé. L'activation ou la désactivation par défaut de la protection du système dépend de plusieurs paramètres.
- Au moins un compte d'administrateur local doit être activé sur l'ordinateur ou les informations d'identification d'au moins un membre du groupe « Administrateurs » doivent être mises en cache.
Correctifs non officiels pour tous les systèmes Windows 10 concernés
Jusqu'à ce que Microsoft publie des mises à jour de sécurité pour résoudre ce problème de sécurité (probablement le mardi du patch le mois prochain), le service de micropatch 0patch a publié des correctifs gratuits et non officiels pour toutes les versions concernées de Windows 10 (y compris Windows 10 21H2). est affecté mais pas encore pris en charge par 0patch) :
'Les serveurs Windows ne sont pas affectés car la fonctionnalité vulnérable n'y existe pas. Bien que des outils de diagnostic similaires existent sur les serveurs, ils s'exécutent sous l'identité de l'utilisateur de démarrage et ne peuvent donc pas être exploités », a ajouté Kolsek.
'Windows 10 v1803 et les versions antérieures de Windows 10 ne semblent pas non plus être affectées. Bien qu'ils disposent de la fonction « Accès au travail ou à l'école », celle-ci se comporte différemment et ne peut pas être exploitée de cette manière. Windows 7 n'a pas la fonction 'Connexion'. travail ou école. ou la fonctionnalité de l'école du tout ».
Nous remercions Abdelhamid Naceri ( @ KLINIX5 ) pour identifier ce problème et partager les détails, ce qui nous a permis de créer un micropatch et de protéger nos utilisateurs.
- 0 patch (@ 0 patch) 26 novembre 2021
Comment installer le micropatch
Pour installer le correctif non officiel sur votre système, vous devrez créer un compte 0patch et installer l'agent 0patch.
Une fois l'agent démarré sur l'appareil, le correctif sera appliqué automatiquement (si aucune politique d'entreprise de correctifs personnalisés n'est activée pour le bloquer) sans redémarrage.
Il s'agit du deuxième jour zéro Windows à recevoir un micropatch ce mois-ci après que Naceri a découvert que les correctifs pour un autre bogue (CVE-2021-34484) dans le service de profil utilisateur Windows pouvaient être contournés pour augmenter les privilèges sur toutes les fonctions. versions de Windows, même si elles sont tout à fait correctes.
Microsoft doit également corriger un troisième bogue zero-day dans Microsoft Windows Installer avec un exploit de preuve de concept (PoC) publié par Naceri au cours du week-end.
S'il est exploité avec succès, le jour zéro permet aux attaquants d'obtenir des privilèges SYSTEM sur les appareils mis à jour exécutant les dernières versions de Windows, y compris Windows 10, Windows 11 et Windows Server 2022.
Depuis lors, les auteurs de logiciels malveillants ont commencé à tester l'exploit PoC dans des attaques à faible volume, probablement axés sur les tests et les modifications pour les futures campagnes à grande échelle.
Qu'est-ce que tu penses?