Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon

Entradas populares

PostHeaderIcon Grave vulnerabilidad en el servicio de impresión de Windows: PrintNightmare


La vulnerabilidad denominada PrintNightmare reside en el servicio Windows Print Spooler (spoolsv.exe) que administra el proceso de impresión y afecta a todas las versiones del sistema operativo Windows. Microsoft abordó la falla con el lanzamiento de las actualizaciones de seguridad del martes de parches de junio de 2021 de Microsoft aunque la actualización no protege completamente contra esta vulnerabilidad.

 


  • El fallo está en el proceso de añadir una impresora por parte de un usuario sin privilegios
  • El fallo permite en remoto, inyectar cualquier DLL en el sistema con permisos de SYSTEM. Muy grave para redes corporativas y una bendición para el ransomware

Grave vulnerabilidad en sistemas Windows sin parche disponible

  El código de explotación de prueba de concepto para el fallo (bug) CVE-2021-1675 se ha publicado por error en línea. La vulnerabilidad afecta el servicio Windows Print Spooler y podría explotarse para comprometer los sistemas Windows.

PrintNightmare (CVE-2021-1675): Ejecución Remota Código (RCE)


Print Spooler administra el proceso de impresión en Windows, incluida la carga de los controladores de impresora adecuados y la programación del trabajo de impresión para imprimir, entre otros.

CVE-2021-1675 se calificó inicialmente como una vulnerabilidad de elevación de privilegios de baja importancia, pero recientemente se revisó el problema y lo etiquetó como una falla de ejecución remota de código (RCE). El Spooler ha sido durante mucho tiempo una fuente de vulnerabilidades de seguridad, y Microsoft solucionó al menos tres problemas, CVE-2020-1048, CVE-2020-1300, y CVE-2020-1337, solo en el último año. En particular, también se abusó de una falla en el servicio para obtener acceso remoto y propagar el gusano Stuxnet en 2010 contra las instalaciones nucleares iraníes. La vulnerabilidad analizada y las pruebas de concepto actuales no fueron solucionadas en junio.

La semana pasada, investigadores de la firma de seguridad china QiAnXin publicaron un GIF que mostraba un exploit funcional para la falla CVE-2021-1675, pero evitaron revelar los detalles técnicos sobre el ataque.


Sin embargo, la disponibilidad de un exploit PoC completamente funcional en GitHub (otro). El código probablemente se publicó accidentalmente y luego el repositorio de GitHub se eliminó después de unas horas



Escrito por tres analistas de la firma de seguridad china Sangfor, el artículo detalla cómo el trío descubrió el error, independientemente de los equipos que informaron la vulnerabilidad a Microsoft", 

Parece que el trío decidió publicar el PoC después de que los investigadores de QiAnXin compartieran el video del exploit CVE-2021-1675. Luego, retiraron la PoC porque lo presentarán en la conferencia de seguridad Black Hat USA 2021 a finales de este año.



Los actores de amenazas probablemente intentarán explotar este problema en las próximas semanas.

Hasta actualizar, se recomienda, si es posible, deshabiliar el servicio de spooler o desinstalarlo porque el parche de junio no protege completamente contra las PoC disponibles:

Stop-Service Spooler

REG ADD  "HKLM\SYSTEM\CurrentControlSet\Services\Spooler" /v "Start " /t REG_DWORD /d "4" /f

Uninstall-WindowsFeature Print-Services


net stop "Print Spooler" 


o en PowerShell 

Stop-Service -Name Spooler -Force Set-Service -Name Spooler -StartupType Disabled 


https://github.com/gtworek/PSBits/blob/master/Misc/StopAndDisableDefaultSpoolers.ps1

Obviamente desde donde se detenga, no se podrá imprimir.

 CVE-2021-34527

Vulnerabilidad de ejecución remota de código fue catalogada de alta severidad y recibió una puntuación de 8.2 sobre 10 en la escala Common Vulnerability Scoring System (CVSS)

El fallo fue considerado tan grave que Microsoft decidió emitir un parche fuera de banda, en lugar de esperar al lanzamiento de su paquete habitual de actualizaciones que realiza el segundo martes de cada mes, más conocido como Patch Tuesday.

“La vulnerabilidad de ejecución remota de código existe cuando el servicio Windows Print Spooler realiza de manera indebida operaciones con archivos privilegiados. Un atacante que logre explotar esta vulnerabilidad de manera exitosa podría ejecutar código arbitrario con privilegios de SISTEMA. De esta manera, un atacante podría instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas con todos los permisos de usuario”, se lee en la descripción de la vulnerabilidad realizada por Microsoft.

Fuentes:

https://blog.segu-info.com.ar/2021/06/poc-y-exploit-para-vulnerabilidad-de.html

https://twitter.com/ssantosv


0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.