La vulnerabilidad denominada PrintNightmare reside en el servicio Windows Print Spooler (spoolsv.exe) que administra el proceso de impresión y afecta a todas las versiones del sistema operativo Windows. Microsoft abordó la falla con el lanzamiento de las actualizaciones de seguridad del martes de parches de junio de 2021 de Microsoft aunque la actualización no protege completamente contra esta vulnerabilidad.

• El fallo está en el proceso de añadir una impresora por parte de un usuario sin privilegios
• El fallo permite en remoto, inyectar cualquier DLL en el sistema con permisos de SYSTEM. Muy grave para redes corporativas y una bendición para el ransomware

  El código de explotación de prueba de concepto para el fallo (bug) CVE-2021-1675 se ha publicado por error en línea. La vulnerabilidad afecta el servicio Windows Print Spooler y podría explotarse para comprometer los sistemas Windows.

PrintNightmare (CVE-2021-1675): Ejecución Remota Código (RCE)

• Grave vulnerabilidad explotable remotamente en Windows
• RCE en Servicio Impresión Windows spoolsv.exe
• PoC Exploit en Github fue eliminado

Print Spooler administra el proceso de impresión en Windows, incluida la carga de los controladores de impresora adecuados y la programación del trabajo de impresión para imprimir, entre otros.

CVE-2021-1675 se calificó inicialmente como una vulnerabilidad de elevación de privilegios de baja importancia, pero recientemente se revisó el problema y lo etiquetó como una falla de ejecución remota de código (RCE). El Spooler ha sido durante mucho tiempo una fuente de vulnerabilidades de seguridad, y Microsoft solucionó al menos tres problemas, CVE-2020-1048, CVE-2020-1300, y CVE-2020-1337, solo en el último año. En particular, también se abusó de una falla en el servicio para obtener acceso remoto y propagar el gusano Stuxnet en 2010 contra las instalaciones nucleares iraníes. La vulnerabilidad analizada y las pruebas de concepto actuales no fueron solucionadas en junio.

La semana pasada, investigadores de la firma de seguridad china QiAnXin publicaron un GIF que mostraba un exploit funcional para la falla CVE-2021-1675, pero evitaron revelar los detalles técnicos sobre el ataque.

Sin embargo, la disponibilidad de un exploit PoC completamente funcional en GitHub (otro). El código probablemente se publicó accidentalmente y luego el repositorio de GitHub se eliminó después de unas horas. 

Escrito por tres analistas de la firma de seguridad china Sangfor, el artículo detalla cómo el trío descubrió el error, independientemente de los equipos que informaron la vulnerabilidad a Microsoft", 

Parece que el trío decidió publicar el PoC después de que los investigadores de QiAnXin compartieran el video del exploit CVE-2021-1675. Luego, retiraron la PoC porque lo presentarán en la conferencia de seguridad Black Hat USA 2021 a finales de este año.

Los actores de amenazas probablemente intentarán explotar este problema en las próximas semanas.

Hasta actualizar, se recomienda, si es posible, deshabiliar el servicio de spooler o desinstalarlo porque el parche de junio no protege completamente contra las PoC disponibles:

Stop-Service Spooler

REG ADD  "HKLM\SYSTEM\CurrentControlSet\Services\Spooler" /v "Start " /t REG_DWORD /d "4" /f

Uninstall-WindowsFeature Print-Services

net stop "Print Spooler" 

o en PowerShell 

Stop-Service -Name Spooler -Force Set-Service -Name Spooler -StartupType Disabled 

https://github.com/gtworek/PSBits/blob/master/Misc/StopAndDisableDefaultSpoolers.ps1

 CVE-2021-34527

Vulnerabilidad de ejecución remota de código fue catalogada de alta severidad y recibió una puntuación de 8.2 sobre 10 en la escala Common Vulnerability Scoring System (CVSS)

El fallo fue considerado tan grave que Microsoft decidió emitir un parche fuera de banda, en lugar de esperar al lanzamiento de su paquete habitual de actualizaciones que realiza el segundo martes de cada mes, más conocido como Patch Tuesday.

“La vulnerabilidad de ejecución remota de código existe cuando el servicio Windows Print Spooler realiza de manera indebida operaciones con archivos privilegiados. Un atacante que logre explotar esta vulnerabilidad de manera exitosa podría ejecutar código arbitrario con privilegios de SISTEMA. De esta manera, un atacante podría instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas con todos los permisos de usuario”, se lee en la descripción de la vulnerabilidad realizada por Microsoft.

Fuentes:

https://blog.segu-info.com.ar/2021/06/poc-y-exploit-para-vulnerabilidad-de.html

https://twitter.com/ssantosv