Una nueva cadena de exploits permite omitir UAC de Windows

Los investigadores han señalado una vulnerabilidad que están rastreando como CVE-2024-6769, llamándola una combinación de omisión de control de acceso de usuario (UAC).Vulnerabilidad de escalada de privilegios en Windows. Advirtieron que podría permitir que un atacante autenticado obtenga privilegios completos del sistema.

Esto es según Fortra, quien asignó el problema una puntuación de gravedad moderada de 6,7 sobre 10 en la escala del Sistema de Puntuación de Vulnerabilidad Común (CVSS). Su exploit de prueba de concepto muestra que «tienes la capacidad de apagar el sistema», enfatizó Tyler Reguly, subdirector de investigación y desarrollo de seguridad de Fortra. «Hay ciertas ubicaciones en la unidad donde puedes escribir y eliminar archivos que antes no eran posibles. Esto incluye, por ejemplo, C:\Windows, por lo que un atacante podría tomar posesión de los archivos propiedad de SYSTEM».

Microsoft, a su vez, reconoció la investigación, pero dijo que no la considera una vulnerabilidad de seguridad real, ya que entra dentro de su concepto de aceptar límites de seguridad «no robustos».

Comprender los niveles de integridad en Windows

Para comprender los resultados de Fortra, debemos remontarnos a Windows Vista, cuando Microsoft introdujo el modelo de Control de Integridad Mandatorio (MIC). En pocas palabras, MIC ha asignado a cada usuario, proceso y recurso un nivel de acceso, llamado nivel de integridad. Se otorgaron niveles de integridad bajos a todos, medios a usuarios autenticados, altos a los administradores y el sistema solo a los más sensibles y poderosos.

A estos niveles de integridad se agregó UAC, un mecanismo de seguridad que ejecuta la mayoría de los procesos y aplicaciones en el nivel medio de forma predeterminada y requiere permiso explícito para cualquier acción que requiera privilegios más altos. Normalmente, un usuario con privilegios administrativos puede actualizar simplemente haciendo clic derecho en el símbolo del sistema y seleccionando «Ejecutar como administrador».

Al combinar dos técnicas de explotación, los investigadores de Fortra demostraron en su prueba de concepto cómo un usuario ya autorizado podría escapar de este sistema, violando el límite de seguridad de integridad media para obtener privilegios administrativos completos, todo sin activar UAC.

Rompiendo los límites de usuarios con CVE-2024-6769

Para explotar CVE-2024-6769, un atacante primero debe afianzarse en un sistema objetivo. Esto requiere los privilegios de integridad media de un usuario promedio, y la cuenta desde la cual se inicia el ataque debe pertenecer al grupo de Administradores del sistema (el tipo de cuenta que podría alcanzar privilegios de Administrador si UAC no estuviera en el camino). ).

El primer paso del ataque implica Reasigne la unidad raíz del sistema de destino – como “C:” – a un lugar bajo su control. Esto también moverá la carpeta system32, en la que confían muchos servicios para cargar archivos importantes del sistema.

Uno de esos servicios es el cargador CTF ctfmon.exe, que se ejecuta con un alto nivel de integridad sin privilegios administrativos. Si el atacante coloca una DLL copiadora especialmente diseñada en la carpeta copycat system32, ctfmon.exe la carga y ejecuta el código del atacante con este alto nivel de integridad.

A continuación, si el atacante desea obtener todos los privilegios administrativos, puede hacerlo. Envenenar la caché del contexto de activacióncon el que Windows carga determinadas versiones de bibliotecas. Para ello, crean una entrada en la caché que apunta a una versión maliciosa de una DLL legítima del sistema contenida en una carpeta creada por el atacante. A través de un mensaje especialmente diseñado al servidor CSRSS (Client/Server Runtime Subsystem), el archivo falso es cargado por un proceso con privilegios administrativos, lo que le da al atacante un control total del sistema.

Microsoft: No hay agujero de seguridad

A pesar de la posibilidad de una escalada de privilegios, Microsoft se negó a aceptar el problema como una vulnerabilidad de seguridad. Después de que Fortra informara esto, la compañía respondió señalando la sección “sin fronteras”. Criterios de mantenimiento de seguridad de Microsoft para Windowslo que explica que «algunos componentes y configuraciones de Windows no están destinados expresamente a proporcionar un límite de seguridad sólido». La sección correspondiente «Administrador del kernel» establece:

Básicamente, explica Reguly, «ven el límite entre el administrador y el sistema como un límite inexistente porque se confía en el usuario administrador en un host». En otras palabras, Microsoft no considera que CVE-2024-6769 sea una vulnerabilidad si es un usuario administrador. en última instancia, podría realizar las mismas acciones a nivel del sistema de todos modos, sujeto a la aprobación de la UAC.

En una declaración a Dark Reading, un portavoz de Microsoft enfatizó: «El método requiere ser miembro del grupo de Administradores, por lo que la llamada técnica simplemente explota un permiso o privilegio previsto que no cruza un límite de seguridad».

Reguly y Fortra no están de acuerdo con el punto de vista de Microsoft. «Cuando se introdujo UAC, creo que a todos nos convenció la idea de que UAC era una nueva y excelente característica de seguridad, y Microsoft ha solucionado soluciones para las características de seguridad en el pasado», dice. “Entonces, cuando dicen que es un límite de confianza que es aceptable exceder, lo que realmente me están diciendo es que UAC no es una característica de seguridad. Es una especie de mecanismo útil, pero no está realmente relacionado con la seguridad. Creo que es una diferencia filosófica realmente fuerte».

Las tiendas de Windows aún deben tener cuidado con el riesgo de omisión de UAC

Aparte de las diferencias filosóficas, Reguly enfatiza que las empresas deben ser conscientes del riesgo asociado con permitir que administradores de menor integridad escale sus privilegios para obtener un control total del sistema.

Al final de un exploit CVE-2024-6769, un atacante tendría control total para manipular o eliminar archivos críticos del sistema, cargar malware, establecer persistencia, desactivar funciones de seguridad, acceder a datos potencialmente confidenciales y más.

«Afortunadamente, esto sólo afecta a los administradores, lo que significa que la mayoría de los usuarios estándar no se verán afectados», señaló Fortra en una pregunta frecuente a los periodistas. “Es importante que los administradores se aseguren de no ejecutar archivos binarios cuyo origen no pueda verificarse. Sin embargo, para estos administradores, la vigilancia es actualmente la mejor defensa”.