Investigadores de ciberseguridad revelaron el martes detalles sobre una falla de alta gravedad en el software del controlador HP OMEN que afecta a millones de computadoras para juegos en todo el mundo. Registradas con identificador CVE-2021-3437 (puntuación CVSS: 7.8), la vulnerabilidad podrían permitir que los actores de amenazas escalen privilegios al modo kernel sin requerir permisos de administrador, lo que les permite deshabilitar productos de seguridad, sobrescribir componentes del sistema e incluso corromper el sistema operativo.

La firma de ciberseguridad SentinelOne, que descubrió e informó de la deficiencia a HP el 17 de febrero, dijo que no encontró evidencia de explotación en estado salvaje. Desde entonces, la empresa de hardware informático ha publicado una actualización de seguridad para sus clientes para abordar estas vulnerabilidades.

Los problemas en sí tienen su origen en un componente llamado OMEN Command Center que viene preinstalado en las computadoras portátiles y de escritorio de la marca HP OMEN y también se puede descargar de Microsoft Store. El software, además de monitorear la GPU, la CPU y la RAM a través de un tablero de vitals, está diseñado para ayudar a ajustar el tráfico de la red y overclockear la PC para juegos para un rendimiento más rápido de la computadora.

«El problema es que HP OMEN Command Center incluye un controlador que, aunque aparentemente desarrollado por HP, es en realidad una copia parcial de otro controlador lleno de vulnerabilidades conocidas», dijeron los investigadores de SentinelOne 

«En las circunstancias adecuadas, un atacante con acceso a la red de una organización también puede obtener acceso para ejecutar código en sistemas sin parches y utilizar estas vulnerabilidades para obtener una elevación local de privilegios. Los atacantes pueden aprovechar otras técnicas para girar a la red más amplia, como lateral movimiento.»

El controlador en cuestión es HpPortIox64.sys, que deriva su funcionalidad de WinRing0.sys desarrollado por OpenLibSys , un controlador problemático que surgió como la fuente de un error de escalada de privilegios local en el software EVGA Precision X1 ( CVE-2020-14979 , puntuación CVSS: 7.8) el año pasado.

«WinRing0 permite a los usuarios leer y escribir en la memoria física arbitraria, leer y modificar los registros específicos del modelo ( MSR ) y leer / escribir en los puertos IO en el host», señalaron investigadores de SpecterOps en agosto de 2020. «Estas características están pensadas por los desarrolladores del controlador. Sin embargo, debido a que un usuario con pocos privilegios puede realizar estas solicitudes, presentan una oportunidad para la escalada local de privilegios «.

El problema principal surge del hecho de que el controlador acepta llamadas de control de entrada / salida ( IOCTL ) sin aplicar ningún tipo de aplicación de ACL , lo que permite a los malos actores el acceso sin restricciones a las funciones antes mencionadas, incluidas las capacidades para sobrescribir un binario cargado por un proceso privilegiado. y finalmente ejecutar código con privilegios elevados.

«Para reducir la superficie de ataque proporcionada por los controladores de dispositivos con controladores de IOCTL expuestos, los desarrolladores deben aplicar ACL fuertes en los objetos del dispositivo, verificar la entrada del usuario y no exponer una interfaz genérica a las operaciones del modo kernel», dijeron los investigadores.

Los hallazgos marcan la segunda vez que WinRing0.sys aparece bajo la lente de causar problemas de seguridad en los productos HP.