Un investigador de seguridad de Google, 'James Forshaw' ha
descubierto una vulnerabilidad de elevación de privilegios en Windows 8.1 que podría
permitir a un hacker modificar el contenido o incluso apoderarse de ordenadores
de las víctimas por completo, dejando a millones de usuarios vulnerables.
El investigador también proporcionó una prueba del programa
concepto (PoC) de la vulnerabilidad. Forshaw dice que ha probado el PoC sólo en
un 8.1 de Windows actualizado y que no está claro si las versiones anteriores,
específicamente Windows 7, son vulnerables.
Forshaw desenterró el fallo en septiembre de 2014 y con ello
notificado en la lista de correo de Investigación de Seguridad Google acerca
del fallo el 30 de septiembre. Ahora, después de 90 días plazo de divulgación
de la vulnerabilidad y la Prueba de Concepto programa fue hecho público el
miércoles.
La vulnerabilidad reside en la función
AhcVerifyAdminContext, una función interna y no una API pública que en realidad
comprueba si el usuario es un administrador.
"Esta función tiene una vulnerabilidad en la que
no comprueba correctamente el testigo de suplantación de la persona que llama
para determinar si el usuario es un administrador," Forshaw escribió en la
lista de correo. "Se lee testigo de suplantación de la persona que llama
utilizando PsReferenceImpersonationToken y luego hace una comparación entre el
usuario SID en el token para el SID de LocalSystem."
"No comprueba el nivel de suplantación de la
señal por lo que es posible obtener un token de identificar en su hilo de un
proceso del sistema local y por esta comprobación. Para ello, los abusos PoC el
servicio BITS y COM para obtener el token de suplantación pero hay
probablemente otras maneras ".
El PoC contiene dos archivos de programa y un conjunto
de instrucciones para ejecutar los archivos que, de tener éxito, finalmente
resultan en la calculadora de Windows en ejecución como administrador. Según el
investigador, la vulnerabilidad no está en control de cuentas de usuario de
Windows (UAC) en sí, pero UAC se utiliza en parte para demostrar el error.
Forshaw probó el PoC en Windows 8.1 actualización, las
versiones de 32 bits y 64 bits, y se recomienda a los usuarios ejecutar el PoC
en 32 bits. Para verificar realice los siguientes pasos:
Ponga el AppCompatCache.exe y testdll.dll en el disco
Asegúrese de que UAC está habilitado, el usuario
actual es un administrador-split token y la configuración de UAC es el valor
por defecto (sin preguntar para ejecutables específicos).
Ejecutar AppCompatCache desde el símbolo del sistema
con la línea de comandos "AppCompatCache.exe c: \ windows \ system32 \
ComputerDefaults.exe testdll.dll".
Si tiene éxito entonces la calculadora debe aparecer
corriendo como administrador. Si no funciona la primera vez (y se obtiene el
programa ComputerDefaults) Vuelva a ejecutar el exploit, parece que hay un
problema de caché / tiempo a veces en la primera ejecución.
Un portavoz de Microsoft confirma la vulnerabilidad y
dice que ya está trabajando en una solución:
"Estamos trabajando para liberar una
actualización de seguridad para hacer frente a una elevación de cuestión de
privilegio. Es importante tener en cuenta que para que un aspirante a atacante
potencialmente explotar un sistema, ellos primero deben tener credenciales de
inicio de sesión válidas y ser capaz de iniciar una sesión en localmente a un
equipo de destino. Animamos a los clientes a mantener actualizado el software
antivirus actualizado, instalar todas las actualizaciones de seguridad
disponibles y activar el firewall en su ordenador ".
En el momento de publicar este artículo, no hay parche
disponible y todos los sistemas de Windows 8.1 son vulnerables a los hackers.
