[ad_1]
Le monde s’est réveillé mardi avec deux nouvelles vulnérabilités, l’une sous Windows et l’autre sous Linux, qui permettent aux pirates informatiques ayant un pied dans un système vulnérable de contourner les restrictions de sécurité du système d’exploitation et d’accéder à des ressources sensibles.
À mesure que les systèmes d’exploitation et les applications deviennent plus difficiles à pirater, les attaques réussies nécessitent généralement deux vulnérabilités ou plus. Une vulnérabilité permet à l’attaquant d’accéder aux ressources du système d’exploitation à faible privilège, où le code peut être exécuté ou les données sensibles peuvent être lues. Une deuxième vulnérabilité élève l’exécution de code ou l’accès aux fichiers aux ressources du système d’exploitation réservées au stockage de mots de passe ou à d’autres opérations sensibles. La valeur des vulnérabilités dites locales d’élévation des privilèges a donc augmenté ces dernières années.
Briser les fenêtres
La vulnérabilité Windows venu à la lumière par accident lundi, lorsqu’un chercheur a observé ce qu’il croyait être une régression du codage dans une version bêta du prochain Windows 11. Le chercheur a découvert que le contenu du gestionnaire de compte de sécurité, la base de données qui stocke les comptes d’utilisateurs et les descripteurs de sécurité des utilisateurs sur le ordinateur local : peut être lu par les utilisateurs disposant de privilèges système limités.
Cela a permis d’extraire les données de mot de passe protégées par cryptographie, de découvrir le mot de passe utilisé pour installer Windows, d’obtenir les clés de l’ordinateur pour l’API de protection des données Windows – qui peut être utilisée pour déchiffrer les clés de chiffrement privées – et de créer un compte sur la machine vulnérable. Le résultat est que l’utilisateur local peut élever ses privilèges jusqu’à Système, le niveau le plus élevé de Windows.
« Je ne connais pas encore toute l’étendue du problème, mais c’est trop pour ne pas être un problème je pense », a noté le chercheur Jonas Lykkegaard. « Juste pour que personne ne doute de ce que cela signifie, c’est EOP to SYSTEM même pour les applications en bac à sable. »
yarh- pour une raison quelconque sur win11, le fichier SAM est maintenant lu pour les utilisateurs.
Donc, si vous avez activé shadowvolumes, vous pouvez lire le fichier sam comme ceci :Je ne connais pas encore toute l’étendue du problème, mais c’est trop pour ne pas être un problème, je pense. pic.twitter.com/kl8gQ1FjFt
– Jonas L (@jonasLyk) 19 juillet 2021
Les personnes qui ont répondu à Lykkegaard ont souligné que le comportement n’était pas une régression introduite dans Windows 11. Au lieu de cela, la même vulnérabilité était présente dans la dernière version de Windows 10. L’équipe américaine de préparation aux urgences informatiques a déclaré que la vulnérabilité est présente lorsque le Volume Shadow Le service de copie, la fonctionnalité Windows qui permet au système d’exploitation ou aux applications de prendre des « instantanés instantanés » d’un disque entier sans verrouiller le système de fichiers, est activé.
L’avis expliquait :
Si un cliché instantané VSS du lecteur système est disponible, un utilisateur non privilégié peut exploiter l’accès à ces fichiers pour obtenir un certain nombre d’impacts, notamment, mais sans s’y limiter :
- Extraire et exploiter les hachages de mot de passe de compte
- Découvrez le mot de passe d’installation Windows d’origine
- Obtenir des clés d’ordinateur DPAPI, qui peuvent être utilisées pour déchiffrer toutes les clés privées d’ordinateur
- Obtenez un compte de machine informatique, qui peut être utilisé dans une attaque par ticket d’argent
Notez que les clichés instantanés VSS peuvent ne pas être disponibles dans certaines configurations ; Cependant, le simple fait d’avoir un lecteur système d’une taille supérieure à 128 Go, puis d’effectuer une mise à jour Windows ou d’installer un MSI garantira qu’un cliché instantané VSS sera automatiquement créé. Pour vérifier si un système dispose de clichés instantanés VSS, exécutez la commande suivante à partir d’une invite de commande privilégiée :
vssadmin list shadows
Chercheur Benjamin Delpy montré comment la vulnérabilité peut être exploitée pour obtenir des hachages de mot de passe d’autres données sensibles :
Q : que pouvez-vous faire lorsque vous avez #mimikatz🥝 & certains accès en lecture sur les fichiers système Windows tels que SYSTEM, SAM et SECURITY ?
A : escalade des privilèges locaux 🥳
Merci @jonasLyk pour cet accès en lecture sur Windows par défaut😘 pic.twitter.com/6Y8kGmdCsp
— 🥝 Benjamin Delpy (@gentilkiwi) 20 juillet 2021
Actuellement, aucun correctif n’est disponible. Les représentants de Microsoft n’ont pas immédiatement fait de commentaire sur le rapport.
Et tu, noyau Linux ?
La plupart des versions de Linux, quant à elles, sont en train de distribuer un correctif pour une vulnérabilité révélée mardi. CVE-2021-33909, au fur et à mesure que la faille de sécurité est suivie, permet à un utilisateur non fiable d’obtenir des droits système illimités en créant, en montant et en supprimant une structure de répertoire profonde avec une longueur de chemin totale supérieure à 1 Go, puis en ouvrant et en lisant le /proc/self/mountinfo
déposer.
« Nous avons exploité avec succès cette écriture hors limites incontrôlée et obtenu les privilèges root complets sur les installations par défaut d’Ubuntu 20.04, Ubuntu 20.10, Ubuntu 21.04, Debian 11 et Fedora 34 Workstation », chercheurs de Qualys, la société de sécurité qui a découvert la vulnérabilité. et créé un code de preuve de concept qui l’exploite, écrit. « D’autres distributions Linux sont certainement vulnérables, et probablement exploitables. »
L’exploit décrit par Qualys s’accompagne d’une surcharge importante, en particulier environ 1 million de répertoires imbriqués. L’attaque nécessite également environ 5 Go de mémoire et 1 million d’inodes. Malgré les obstacles, un représentant de Qualys a décrit le PoC comme « extrêmement fiable » et a déclaré qu’il fallait environ trois minutes pour le terminer.
Voici un aperçu de l’exploit :
1/ Nous mkdir() une structure de répertoire profonde (environ 1M de répertoires imbriqués) dont la longueur totale du chemin dépasse 1 Go, nous la montons par liaison dans un espace de noms utilisateur non privilégié, et rmdir().
2/ On crée un thread qui vmalloc() ate un petit programme eBPF (via BPF_PROG_LOAD), et on bloque ce thread (via userfaultfd ou FUSE) après que notre programme eBPF ait été validé par le vérificateur eBPF du noyau mais avant qu’il ne soit compilé JIT par le noyau.
3/ Nous ouvrons () /proc/self/mountinfo dans notre espace de noms d’utilisateur non privilégié et commençons à lire () le long chemin de notre répertoire monté par liaison, écrivant ainsi la chaîne « //deleted » à un décalage d’exactement -2 Go- 10B en dessous du début d’un tampon vmalloc().
4/ Nous faisons en sorte que cette chaîne « //supprimée » écrase une instruction de notre programme eBPF validé (et donc annule les contrôles de sécurité du vérificateur eBPF du noyau) et transforme cette écriture hors limites incontrôlée en une divulgation d’informations et en une écriture hors limites limitée mais contrôlée.
5/ Nous transformons cette écriture limitée hors limites en une lecture et une écriture arbitraires de la mémoire du noyau en réutilisant les belles techniques btf et map_push_elem de Manfred Paul de :
https://www.thezdi.com/blog/2020/4/8/cve-2020-8835-linux-kernel-privilege-escalation-via-improper-ebpf-program-verification
Qualys a une écriture séparée ici.
Les personnes exécutant Linux doivent vérifier auprès du distributeur pour déterminer si des correctifs sont disponibles pour corriger la vulnérabilité. Les utilisateurs de Windows doivent attendre les conseils de Microsoft et d’experts en sécurité externes.
[ad_2]