22/04/21
Компания Microsoft тайно выпустила частичное исправление для уязвимости в Windows 7 и Server 2008 R2. Уязвимость (идентификатор CVE ей не присвоен) существует из-за неправильной конфигурации ключей реестра двух служб и позволяет локальному атакующему повысить свои привилегии на любой системе со всеми установленными обновлениями.
Исследователь безопасности Клемент Лабро (Clément Labro) обнаружил небезопасные разрешения в ключах реестра служб RpcEptMapper и DnsCache, позволяющие злоумышленникам заставить RPC Endpoint Mapper загрузить вредоносные DLL на Windows 7 и Windows Server 2008R2. С помощью уязвимости атакующие могут выполнить произвольный код в контексте службы Windows Management Instrumentation (WMI), работающей с привилегиями LocalSystem.
«Если вкратце, локальный пользователь без привилегий администратора просто создает субключ Performance в одном из вышеупомянутых ключей, заполняет его некоторыми значениями и запускает мониторинг производительности, что приводит к загрузке процессом Local System WmiPrvSE.exe библиотеки DLL атакующего и выполнению из нее кода», - пояснил соучредитель 0patch Митя Колшек (Mitja Kolsek) в ноябре 2020 года, когда впервые стало известно об уязвимости.
Microsoft тайно исправила уязвимость в ключе реестра RpcEptMapper в апреле 2021 года путем изменения разрешений. В частности, компания убрала опцию для создания субключей для групп «Авторизованные пользователи» и «Пользователи». Уязвимость в DnsCache все еще не исправлена. Эксплоит для уязвимости существует с февраля 2021 года.
