Bug não remutado no spooler de impressão do Windows dá privilégio de administrador de malware 

Um método foi fundado pelo investigador para evitar um patch, a Microsoft lançada para resolver um problema nos serviços de impressão do Windows que fornece aos atacantes uma rota para executar código rancoroso com privilégios elevados. Registada como CVE-2020-1048, a falha inicial recebeu uma correção inicial em maio e outra vem com o lançamento deste mês de atualizações de segurança da Microsoft. Fundado e reportado de forma fiável por Peleg Hadar e Tomer Bar da SafeBreach Labs, o CVE-2020-1048 afeta o Windows Print Spooler, o serviço que gere o processo de impressão.


Evadir foi classificado como uma nova falha que recebeu o número de rastreio CVE-2020-1337. Uma correção estará disponível no dia 11 de agosto.Os detalhes técnicos para o novo bug ainda são privados, mas serão emitidos após o lançamento do patch, juntamente com um controlador mini-filtro de prova de conceito que exibe como evitar em tempo real o abuso das duas exposições.
Plantação de malware
Abusar do CVE-2020-1048 pode ser feito através da criação de ficheiros malévolos analisados pelo spooler. Um tipo é. Formato SHD (Shadow) e detém metadados para o trabalho de impressão, como SID – o ID do utilizador que cria o trabalho. O outro é SPL (ficheiro Spool), com os dados que requerem ser impressos. “Isto pareceu muito interessante, pois fornece uma forma conveniente de enviar dados diretamente para o spooler, que (provavelmente) será analisado e usado por outros componentes também”, escrevem os investigadores num relatório técnico hoje divulgado.
Tendo em conta que o Windows Print Spooler funciona com privilégios SYSTEM e qualquer utilizador pode deixar cair ficheiros SHD na sua pasta, os investigadores tentaram encontrar uma forma de escrever para o diretório do sistema32, tarefa que requer privilégios elevados. Hadar e Bar revelaram que poderiam modificar um ficheiro SHD para incluir o SISTEMA SID, adicioná-lo à pasta Spooler e reiniciar o computador para o Spooler executar a tarefa com os direitos da conta mais privilegiada no Windows.
Juntamente com um DLL arbitrário (wbemcomn.dll) camuflado como um ficheiro SPL, eles copiaram o SHD mal feito para a pasta do spooler. Um reboot mais tarde, eles alcançaram a escalada de privilégio e escreveram o seu DLL para a pasta System32. “Como bónus, vários serviços windows carregaram o nosso DLL (wbemcomn.dll) porque não verificaram a assinatura e tentaram carregar o DLL de um caminho não existente, o que significa que também temos a execução de código” disseram os dois investigadores.