El investigador de seguridad Jonas Lykkegaard ha descubierto una nueva vulnerabilidad que afecta a Windows 10 y Windows 11. Se trata de un problema que permite que los archivos del Registro y sus bases de datos sean accesibles al grupo "Usuarios" que tiene no tiene privilegios elevados en un dispositivo.
Esto quiere decir que un usuario regular, sin privilegios de Administrador, puede acceder a archivos que contienen información sensible de todas las cuentas del dispositivo. Esto es especialmente problemático en el caso de los archivos del registro asociados con el Administrador de cuentas de seguridad (SAM), la base de datos que almacena las contraseñas de los usuarios cifradas.
El fallo puede ser aprovechado por cualquier tipo de usuario para ganar privilegios de Administrador
Esto representa un gran problema ya que cualquier atacante, incluso teniendo privilegios limitados, puede extraer las contraseñas con hash de NTLM de todas las cuentas de un dispositivo y utilizar esos hashes en ataques pass-the-hash para obtener privilegios elevados.
Un ataque pass-the-hash es una técnica en la que el atacante captura el hash de la contraseña en lugar de los caracteres de la misma, y simplemente los usa para autenticarse sin necesidad de tener que descifrar el hash y obtener el password en texto plano.
Microsoft ya ha reconocido la vulnerabilidad identificada como CVE-2021-36934, y la ha descrito como una de elevación de privilegios debido a unas Listas de control de acceso (ACLs) demasiado permisivas en múltiples archivos del sistema.
Un atacante que explotara con éxito esta vulnerabilidad podría ejecutar código arbitrario con privilegios de SISTEMA. Un atacante podría entonces instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas con derechos de usuario completos.
Es importante notar que el atacante necesita poder ejecutar código en el sistema de la víctima para poder ejecutar esta vulnerabilidad. Microsoft está en proceso de investigación y de momento no han encontrado evidencia de que el fallo esté siendo explotado.
Microsoft ofrece los pasos para una solución temporal en la web con la notificación. Recomiendan restringir el acceso a los contenidos de %windir%\system32\config y borrar las copias shadow del Volume Shadow Copy Service (VSS).
La empresa también ha confirmado que este problema afecta a Windows 10 a partir de la versión 1809. Todavía no se ha liberado un parche oficial.
Vía | BleepingComputer
Ver 6 comentarios