Un exploit de preuve de concept (PoC) lié à une vulnérabilité d’exécution de code à distance affectant Windows Print Spooler et corrigé par Microsoft au début du mois a été brièvement publié en ligne avant d’être supprimé.
Identifiée en tant que CVE-2021-1675, le problème de sécurité pourrait donner aux attaquants distants le contrôle total des systèmes vulnérables. Spouleur d’impression gère le processus d’impression sous Windows, y compris le chargement des pilotes d’imprimante appropriés et la planification du travail d’impression pour l’impression, entre autres.
Les failles du spouleur d’impression sont préoccupantes, non seulement en raison de la large surface d’attaque, mais également du fait qu’il fonctionne au niveau de privilège le plus élevé et est capable de charger dynamiquement des binaires tiers.
« Soit l’attaquant exploite la vulnérabilité en accédant au système cible localement (par exemple, clavier, console) ou à distance (par exemple, SSH) ; soit l’attaquant s’appuie sur l’interaction utilisateur par une autre personne pour effectuer les actions requises pour exploiter la vulnérabilité (par exemple, incitant un utilisateur légitime à ouvrir un document malveillant) », a déclaré Microsoft dans son avis.
Bien que la vulnérabilité ait été corrigée par le fabricant de Windows dans le cadre de sa mise à jour Patch Tuesday le 8 juin 2021, Microsoft a révisé le 21 juin l’impact de la faille d’une élévation de privilège à l’exécution de code à distance (RCE) ainsi que mis à niveau le niveau de gravité de Important à critique.
Les choses ont pris une tournure lorsque la société de sécurité chinoise QiAnXin plus tôt cette semaine divulgué il a pu trouver les « bonnes approches » pour exploiter la faille, démontrant ainsi une exploitation réussie pour atteindre le RCE.
Bien que les chercheurs se soient abstenus de partager des détails techniques supplémentaires, la société de cybersécurité basée à Hong Kong Sangfor a publié une analyse approfondie indépendante de la même vulnérabilité, ainsi qu’un code PoC entièrement fonctionnel sur GitHub, où il est resté accessible au public avant d’être mis hors ligne un quelques heures plus tard.
Sangfor a nommé la vulnérabilité « PrintNightmare ».
« Nous avons supprimé le PoC de PrintNightmare. Pour atténuer cette vulnérabilité, veuillez mettre à jour Windows vers la dernière version ou désactiver le service Spooler » tweeté Zhiniang Peng, chercheur principal en sécurité de Sangfor. Les conclusions devraient être présenté à la conférence Black Hat USA le mois prochain.
Le spouleur d’impression Windows est depuis longtemps une source de vulnérabilités de sécurité, Microsoft corrigeant au moins trois problèmes : CVE-2020-1048, CVE-2020-1300, et CVE-2020-1337 – au cours de la dernière année seulement. Notamment, une faille dans le service a également été abusée pour obtenir un accès à distance et propager le Stuxnet ver en 2010 ciblant les installations nucléaires iraniennes.
