Уязвимост 0-day, позволяваща ескалиране на локални привилегии на Windows, която Microsoft не успя да реши напълно от няколко месеца, позволява на потребителите да получат административни привилегии в Windows 10, Windows 11 и Windows Server.
Локално експлоатираната уязвимост в услугата Windows User Profile Service се проследява като CVE-2021-34484 и е получила CVSS v3 оценка 7,8. Въпреки че експлойтите са били публично разкривани в миналото, не се смята, че се ползват активно.
Особеността на този случай се крие във факта, че Microsoft не е в състояние да се справи с недостатъка след откриването му миналото лято и че маркира грешката като коригирана два пъти.
Според екипа на 0patch, който неофициално предоставя пачове за преустановени версии на Windows и някои уязвимости, които Microsoft няма да адресира, уязвимостта е все още некорегирана (0-day). Всъщност пачовете на Microsoft не успяха да поправят грешката и развалиха предишната неофициална корекция на 0patch.
Уязвимостта за повишаване на привилегиите в услугата на потребителските профили на Windows, проследявана като CVE-2021-34484, беше открита от изследователя по сигурността Абделхамид Насери и разкрита на Microsoft, която я поправи като част от корекцията от август 2021 г. във вторник.
Скоро след като корекцията беше пусната, Naceri забеляза, че корекцията на Microsoft е непълна и представи концепция (PoC), която я заобиколи във всички версии на Windows.
Екипът на 0patch се намеси, като пусна неофициална актуализация на сигурността за всички версии на Windows и я направи безплатна за изтегляне за всички регистрирани потребители.
Microsoft също отговори на това заобикаляне с втора актуализация на сигурността, издадена с кръпката за вторник от януари 2022 г., като даде на байпаса нов проследяващ идентификатор като CVE-2022-21919 и го маркира като фиксиран. Въпреки това, Naceri намери начин да заобиколи тази корекция, като коментира, че този опит е по-лош от първия.
Докато тестваше корекцията си срещу втория байпас на изследователя, 0patch установи, че тяхната корекция към "profext.dll" DLL все още защитава потребителите срещу новия метод на експлоатация, позволявайки на тези системи да останат защитени.
Въпреки това, вторият опит за коригиране на Microsoft замени файла "profext.dll", което доведе до премахването на неофициалната корекция от всички, които са приложили актуализациите на Windows от януари 2022 г.
0patch вече пренесе корекцията, за да работи с актуализациите на корекцията от март 2022 г. и я направи достъпна безплатнa за всички регистрирани потребители.
Екипът на KiK препоръчва регулярно извършване на оценка на уязвимости и тестове за пробив в сигурността за осигурява не на киберсигурност и защита на данните Ви.
Версиите на Windows, които могат да се възползват от новата микрокръпка, са следните:
- Windows 10 v21H1 (32 и 64 бита) актуализиран с актуализации от март 2022 г.
- Windows 10 v20H2 (32 и 64 бита) актуализиран с актуализации от март 2022 г.
- Windows 10 v1909 (32 и 64 бита) актуализиран с актуализации от март 2022 г.
- Windows Server 2019 64-битов актуализиран с актуализации от март 2022 г
Трябва да се отбележи, че Windows 10 1803, Windows 10 1809 и Windows 10 2004 все още са защитени от оригиналната корекция на 0patch, тъй като са достигнали края на поддръжката и не са получили актуализацията на Microsoft, която заменя DLL.
Микрокръпката ще остане достъпна за безплатно изтегляне за потребители на горните версии на Windows, стига Microsoft да не пусне пълно решение за конкретния проблем с LPE и всички негови байпаси.
За тези, които се интересуват от това предложение, актуализирайте своя Windows 10 до най-новото ниво на корекция (март 2022 г.), създайте безплатен акаунт в 0patch central, а след това инсталирайте и регистрирайте от тук.