Investigador alemán de seguridad ha revelado públicamente un exploit para una nueva vulnerabilidad de elevación de privilegios locales de día cero de Windows que otorga privilegios de administrador en Windows 10, Windows 11 y/o Windows Server con todos los parches de noviembre en el componente Windows Installer. Lo hizo por frustración por los pagos decrecientes de Microsoft en su programa de recompensas por errores. No hay parches disponibles.

Nuevo 0-day día cero de Windows con exploit público te permite convertirte en administrador (sin parches disponibles)

• LPE en Windows Installer

Con esta vulnerabilidad, los actores de amenazas con acceso limitado a un dispositivo comprometido pueden elevar fácilmente sus privilegios para ayudar a propagarse lateralmente dentro de la red.
Versión preliminar de la actualización acumulativa KB5007262 de Windows 11

• La vulnerabilidad afecta a todas las versiones compatibles de Windows, incluidas Windows 10, Windows 11 y Windows Server 2022.
  

Como parte del martes de parche de noviembre de 2021, Microsoft corrigió una vulnerabilidad de 'vulnerabilidad de elevación de privilegios del instalador de Windows' rastreada como CVE-2021-41379.

Esta vulnerabilidad fue descubierta por el investigador de seguridad Abdelhamid Naceri, quien encontró un desvío al parche y una nueva vulnerabilidad de elevación de privilegios de día cero más poderosa después de examinar la solución de Microsoft.

Naceri publicó un exploit de prueba de concepto funcional para el nuevo día cero en GitHub, explicando que funciona en todas las versiones compatibles de Windows.

CVE-2021-41379

• https://github.com/klinix5/InstallerFileTakeOver
• https://github.com/jbaines-r7/shakeitoff

"Esta variante se descubrió durante el análisis del parche CVE-2021-41379. Sin embargo, el error no se solucionó correctamente en lugar de eliminar el bypass", explica Naceri en su artículo. "He optado por eliminar esta variante ya que es más poderosa que la original".

Además, Naceri explicó que si bien es posible configurar políticas de grupo para evitar que los usuarios 'Estándar' realicen operaciones de instalación de MSI, su día cero omite esta política y funcionará de todos modos.

Naceri reveló públicamente la vulnerabilidad de día cero, dijo que lo hizo por frustración por los pagos decrecientes de Microsoft en su programa de recompensas por errores.

• "Las recompensas de Microsoft han sido destruidas desde abril de 2020, realmente no haría eso si MSFT no tomara la decisión de degradar esas recompensas", explicó Naceri.

Naceri no está solo en sus preocupaciones sobre lo que los investigadores sienten es la reducción en los premios de recompensas por errores.

Como es típico con cero días, es probable que Microsoft solucione la vulnerabilidad en una futura actualización del martes de parches.

Sin embargo, Naceri advirtió que no se recomienda intentar corregir la vulnerabilidad intentando parchear el binario, ya que probablemente romperá el instalador.

"La mejor solución alternativa disponible en el momento de escribir esto es esperar a que Microsoft lance un parche de seguridad, debido a la complejidad de esta vulnerabilidad", explicó Naceri.

"Cualquier intento de parchear el binario directamente romperá el instalador de Windows. Así que será mejor que espere y vea cómo Microsoft volverá a arreglar el parche". 

De hecho, LPE funciona bien en un sistema Windows 11 completamente parcheado.

Fuentes:

https://www.bleepingcomputer.com/news/microsoft/new-windows-zero-day-with-public-exploit-lets-you-become-an-admin/

https://borncity.com/win/2021/11/23/0-day-lpe-schwachstelle-im-windows-installer-nov-2021/