Windows 10, pubblicata vulnerabilità sul Task Scheduler: meglio aggiornare

Windows 10, pubblicata vulnerabilità sul Task Scheduler: meglio aggiornare

Un ricercatore di sicurezza ha pubblicato un exploit eseguibile su Windows 10 (e anche altre versioni precedenti, con le dovute accortezze) che consente a utenti terzi di scalare i privilegi sul sistema

di pubblicata il , alle 18:21 nel canale Sistemi Operativi
MicrosoftWindows
 

A scoprire la vulnerabilità è stato il ricercatore di sicurezza SandboxEscaper, che ha anche rilasciato un codice di prova di un exploit realmente possibile. La falla è rimasta aperta anche su Windows 10 32-bit e viene definita come una "LPE", ovvero una Local Privilege Escalation. Si tratta di un tipo di exploit sfruttabile per entrare in maniera coatta in sistemi terzi, ad esempio elevando gli accessi su host compromessi passando da un account con privilegi bassi ad account con privilegi da amministratore.

Secondo la descrizione rilasciata sulla falla 0-day, la vulnerabilità risiede nel Windows Task Scheduler, che in italiano viene tradotto in Utilità di pianificazione. L'aggressore può eseguire un file .job manipolato che sfrutta una falla nella procedura usata per cambiare i permessi DACL (Discretional Access Control List) per un file singolo. Una volta sfruttata la vulnerabilità l'operatore può eseguire una escalation nei permessi nel sistema operativo ottenendo quelli di amministrazione e, di riflesso, l'accesso all'intero sistema.

Al momento in cui scriviamo la vulnerabilità è stata confermata solo sui sistemi Windows 10 a 32-bit, tuttavia con i dovuti accorgimenti dovrebbe funzionare anche sulle altre versioni di Windows, inclusi Windows XP e Server 2003. Si tratta, quest'ultima, di una supposizione che per essere confermata richiede ulteriori approfondimenti (che arriveranno nei prossimi giorni). Un proof-of-concept è stato pubblicato da Catalin Cimpanu di ZDNet su Twitter, mostrando come la falla scoperta da SandboxEscaper sia sfruttabile attivamente.

È chiaro che per applicare l'exploit è necessario avere accesso fisico al computer e che, quindi, le possibilità di eseguirlo con finalità malevole si riducono. SandboxEscaper ha già rilasciato altre vulnerabilità 0-day online senza notificarle in anticipo a Microsoft: ad esempio nel 2018 aveva rilasciato quattro vulnerabilità che sono state corrette sui sistemi operativi Windows nel giro di uno o due mesi. Nel caso della nuova patch, tuttavia, il proof-of-concept pubblicato da SandboxEscaper è già stato corretto con il Patch Tuesday di Maggio 2019 dopo essere stato sfruttato attivamente. Fra le segnalazioni della vulnerabilità, inoltre, nel bollettino rilasciato da Microsoft compariva il nome del ricercatore di sicurezza.

27 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
LukeIlBello23 Maggio 2019, 21:40 #1
ehm... mimikatz
già uscito da mesi
edit: no questo è diverso, perchè l'escalation parte da qualsiasi utente.. poi magari combinato con mimikatz sono proprio katz
nickname8823 Maggio 2019, 23:03 #2
Originariamente inviato da: LukeIlBello
ehm... mimikatz
già uscito da mesi
edit: no questo è diverso, perchè l'escalation parte da qualsiasi utente.. poi magari combinato con mimikatz sono proprio katz


"[I][COLOR="Blue"]È chiaro che per applicare l'exploit è necessario avere accesso fisico al computer[/COLOR][/I]" ... ops

Ti aggrappi proprio a tutto
LukeIlBello23 Maggio 2019, 23:35 #3
Originariamente inviato da: nickname88
"[I][COLOR="Blue"]È chiaro che per applicare l'exploit è necessario avere accesso fisico al computer[/COLOR][/I]" ... ops

Ti aggrappi proprio a tutto


ne dubito..
cosa mai può precludermi una sessione RDP rispetto al locale?
NoNickName24 Maggio 2019, 08:10 #4

Traduzione

"Scalare i privilegi" non è italiano, è solo la brutta traduzione di ESCALATE PRIVILEGES. Si dice ACCRESCERE I PRIVILEGI o ALZARE I PRIVILEGI
tallines24 Maggio 2019, 08:18 #5
È chiaro che per applicare l'exploit è necessario avere accesso fisico al computer e che, quindi, le possibilità di eseguirlo con finalità malevole si riducono.

Quindi impatto zero, praticamente..........
Epoc_MDM24 Maggio 2019, 09:21 #6
Originariamente inviato da: tallines
È chiaro che per applicare l'exploit è necessario avere accesso fisico al computer e che, quindi, le possibilità di eseguirlo con finalità malevole si riducono.

Quindi impatto zero, praticamente..........


Accesso fisico non vuol dire "essere seduto davanti al PC"
inited24 Maggio 2019, 10:15 #7
Originariamente inviato da: Epoc_MDM
Accesso fisico non vuol dire "essere seduto davanti al PC"
Ah no?
LukeIlBello24 Maggio 2019, 10:36 #8
Originariamente inviato da: tallines
È chiaro che per applicare l'exploit è necessario avere accesso fisico al computer e che, quindi, le possibilità di eseguirlo con finalità malevole si riducono.

Quindi impatto zero, praticamente..........


tu lo sai che con mimikatz posso sgamarti DA REMOTO tutte le password del dominio (non solo del pc, del dominio NT/Kerberos)? mi basta avere accesso admin..
combinando sto attacco con mimikatz, posso "violentare" qualsiasi winsoz sul mercato
impatto zero come lo chiami tu nel senso che dopo sulla scrivania resta lo 0 assoluto
nickname8824 Maggio 2019, 10:40 #9
Originariamente inviato da: LukeIlBello
ne dubito..
cosa mai può precludermi una sessione RDP rispetto al locale?
Il fatto che :

- La connessione RDP deve essere permessa da control panel e di default non lo è.
- Inoltre servirebbe anche essere connessi alla stessa rete
- Devi conoscere utente e psw
- Nel caso qualcuno stia già usando un altro PC su Win10 ( quindi non Win Server ) il num di connessioni è vincolato ad uno e quindi l'utente se ne accorgerebbe all'istante.


Ricapitolando ... realisticamente le probabilità di avere tutti i 4 fattori a favore + l'azzeccare il preciso lasso di tempo in cui un utente non è davanti al PC è inferiore alle % di vittoria al super enalotto.
LukeIlBello24 Maggio 2019, 10:50 #10
Originariamente inviato da: nickname88
Il fatto che :

- La connessione RDP deve essere permessa da control panel e di default non lo è.
- Devi conoscere utente e psw
- Nel caso qualcuno stia già usando un altro PC su Win10 ( quindi non Win Server ) il num di connessioni è vincolato ad uno e quindi l'utente se ne accorgerebbe.
- Inoltre servirebbe anche essere connessi alla stessa rete

Ricapitolando, lato home ... impatto zero.


E' sufficiente una chiave di registro per abilitare RDP anche su win7-8-10..
la chiave è un file .reg che ti avvio silente con un batch che contiente regsvr /s <file.reg> ed abilitazione account guest e creazione password di guest (così da permettergli la connessione RDP), magari dandoti una chiavetta usb con autorun.inf taroccato (se sul posto di lavoro) oppure runnando a tuo pc spento una iso linux che sovrascrive il regedit piazzandoti in autostart tale batch (HKLM->SOFTWARE->SYSWOW64->MICROSOFT->WINDOWS->CURRENTVERSION->RUN).. (ma a quel punto ho gia il controllo totale lato admin, non mi serve piu usare l'exploit del thread)
e sei fottuto

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^