Публикуваха PoC за критична уязвимост в Windows

Print Spooler, услугата в Windows, която подпомага принтирането в Windows, отдавна е известна като проблемна и последният Patch Tuesday запуши поредната открита дупка в него. Сега обаче се появи информация за нова уязвимост в Spooler, а заедно с нея беше публикувано и ръководство за експлоатирането ѝ.

Базираната в Хонг Конг компания Sangfor се подготвяли за участието си на хакерското експо Black Hat, на което ще говорят за проблемите в Windows Print Spooler. Те решили да публикуват в Интернет демонстрация на експлоатирането на това, което те мислят, че е CVE-2021-1675, възможност за неразрешено изпълнение на отдалечен код в Windows посредством уязвимост в Spooler. Дупката е запушена този месец в Patch Tuesday. Оказало се обаче, че PoC (proof-of-concept) кода, с който демонстрират експлоатирането на уязвимостта работи на напълно обновени системи – Sangfor без да искат открили нов проблем в Spooler. Това провокира компанията да изтрие документацията, свързана с тяхната демонстрация, но духът вече е пуснат от бутилката и така експлойта за това, което те нарекли PrintNightmare, вече циркулира в Интернет. Скоро след това, Уил Дорман, софтуерен инженер към университета „Карнеги Мелон“ публикува и конкретна информация, свързана с дупката, като съветва Print Spooler да бъде деактивиран до издаването на кръпка за дупката, ако системата не е свързана с принтер.

„Microsoft Windows Print Spooler не успява да ограничи достъпа до RpcAddPrinterDriverEx() функцията, което може да позволи на отдалечена автентикирала се атакуваща страна да изпълни произволен код с привилегии на ниво SYSTEM на уязвими системи“, пише Дорман.