Categoría: Actualidad

Introducción

Un investigador de seguridad ha revelado públicamente un exploit para una vulnerabilidad de elevación de privilegios locales de Windows que permite a cualquiera obtener privilegios de administrador en Windows 10 [1].

Usando esta vulnerabilidad, los actores de maliciosos con acceso limitado a un dispositivo comprometido pueden elevar fácilmente sus privilegios para ayudar a extenderse lateralmente dentro de la red, crear nuevos usuarios administrativos o realizar comandos privilegiados.

La vulnerabilidad afecta a todas las versiones soportadas de Windows 10 y ya fue resuelta en parche acumulativo de Windows publicado el pasado día 11 de Enero y del cual ya informamos y recomendamos su instalación.

 

Análisis

El atacante puede llamar a la API de la interfaz gráfica de usuario relevante en el modo usuario para hacer la llamada al kernel como xxxMenuWindowProc, xxxSBWndProc, xxxSwitchWndProc, xxxTooltipWndProc, etc. Estas funciones del kernel activarán una llamada de retorno xxxClientAllocWindowClassExtraBytes. El atacante puede interceptar este callback a través del hook xxxClientAllocWindowClassExtraBytes en KernelCallbackTable, y utilizar el método NtUserConsoleControl para establecer el flag ConsoleWindow del objeto tagWND, que modificará el tipo de ventana.

Después del callback final, el sistema no comprueba si el tipo de ventana ha cambiado, y se referencian los datos erróneos debido a la confusión de tipos. La diferencia antes y después de la modificación de la flag es que antes de establecerla, el sistema piensa que tagWND.WndExtra guarda un puntero de modo de usuario; después de establecer la flag, el sistema piensa que tagWND.WndExtra es el desplazamiento de la pila del escritorio del kernel, y el atacante puede controlar este desplazamiento, y luego causar R&W fuera de los límites [2].

 

Recomendaciones

Se recomienda a los usuarios que aún no hayan instalado las actualizaciones de seguridad de enero de 2022 que lo hagan cuanto antes para evitar ataques que exploten esta vulnerabilidad [3].

 

Referencias
[1] Windows vulnerability with new public exploits lets you become admin (bleepingcomputer.com)
[2] CVE-2022-21882: Win32k Window Object Type Confusion | 0-days In-the-Wild (googleprojectzero.github.io)
[3] Security Update Guide – Microsoft

Introducción

El equipo de investigación de Qualys ha descubierto una vulnerabilidad de corrupción de memoria (CVE-2021-4034) en pkexec de polkit, un programa SUID-root que se instala por defecto en todas las distribuciones principales de Linux. Esta vulnerabilidad, fácilmente explotable, permite que cualquier usuario sin privilegios obtenga los privilegios completos de root en un host vulnerable aprovechando esta vulnerabilidad en su configuración por defecto [1].

 

Análisis

La versión actual de pkexec no maneja correctamente el conteo de parámetros de llamada y termina intentando ejecutar variables de entorno como comandos. Un atacante puede aprovechar esto elaborando las variables de entorno de tal manera que induzca a pkexec a ejecutar código arbitrario. Cuando se ejecuta con éxito, el ataque puede causar una escalada de privilegios local, dando a los usuarios sin privilegios derechos administrativos en la máquina de destino.

El principal riesgo para los clientes es la posibilidad de que un usuario sin privilegios obtenga privilegios administrativos en los sistemas afectados. El atacante debe tener acceso al sistema objetivo para llevar a cabo el ataque.

Todas las versiones de Polkit a partir de 2009 son vulnerables.

 

Recomendaciones

Si no hay parches disponibles para su sistema operativo, puede eliminar el bit SUID de pkexec como mitigación temporal. [2] [3] [4]

 

Referencias
[1] PwnKit: Local Privilege Escalation Vulnerability Discovered in polkit’s pkexec (CVE-2021-4034) | Qualys Security Blog
[2] https://ubuntu.com/security/CVE-2021-4034
[3] https://access.redhat.com/security/cve/CVE-2021-4034
[4] https://security-tracker.debian.org/tracker/CVE-2021-4034

Introducción

La semana pasada se descubrió una vulnerabilidad en el kernel de Linux que ocasionaba un desbordamiento de pila, lo que podría usarse para provocar ataques DDoS o escalada de privilegios. [1]

 

Análisis

La vulnerabilidad se encuentra en el sistema Filesystem Context, concretamente en la función legacy_parse_param. Filesystem Context se utiliza cuando se crea un superbloque para montar y remontar archivos de sistema, enviando más de 4095 bytes a la función legacy_parse_param se puede bypassear permitiendo a los atacantes escribir en espacios de memoria privilegiados.

Además, los atacantes también pueden aprovechar un movimiento de escape de contenedor y obtener control del sistema operativo del host y los contenedores que se estén ejecutando.

La vulnerabilidad tiene una puntuación oficial CVSSv3 de 7.8 por lo que se considera de prioridad alta.
No hay prueba de concepto asociada a esta vulnerabilidad.

 

Recomendaciones

Linux ya ha publicado un parche [2] que soluciona la vulnerabilidad, por lo que se recomienda actualizar. En el caso de no poder instalar el parche, se puede deshabilitar los espacios de nombres de usuario sin privilegios mediante el siguiente comando:

sysctl -w kernel.unprivileged_userns_clone = 0

 

Referencias
[1] https://sysdig.com/blog/cve-2022-0185-container-escape/
[2]https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=722d94847de29310e8aa03fcbdb41fc92c521756