CVE-2021-34527 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | 1. Juni 2021

UPDATE 2. Juni 2021: Microsoft hat einen Sicherheitshinweis zu CVE-2021-34527 veröffentlicht und diese spezifische Kennung korrekt als den PrintNightmare-Exploit bezeichnet. Zuvor ging die Community davon aus, dass CVE-2021-1675 "PrintNightmare" sei, da der Patch vom 8. Juni dieses Problem nicht behob. Dieses Repository ist identisch mit dem Original, nur mit dem anderen CVE-Namen.

CVE-2021-34527 ist eine kritische Sicherheitslücke für Remote-Codeausführung und lokale Privilegienausweitung, die als "PrintNightmare" bezeichnet wird.

Für die Remote-Codeausführung wurden Proof-of-Concept-Exploits veröffentlicht (Python, C++) und für die lokale Privilegienausweitung eine C#-Variante. Wir hatten keine native Implementierung in reinem PowerShell gesehen und wollten uns daran versuchen, den Exploit zu verfeinern und neu zu gestalten.

Dieses PowerShell-Skript führt mit der PrintNightmare-Angriffstechnik eine lokale Privilegienausweitung (LPE) durch.

Getestet wurde dies auf Windows Server 2016 und Windows Server 2019.

Verwendung

Fügt standardmäßig einen neuen Benutzer zur lokalen Administratorengruppe hinzu:

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

Geben Sie ein benutzerdefiniertes DLL-Payload an, um alles andere zu tun, was Sie möchten.

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

Details

• Die LPE-Technik benötigt kein Remote-RPC oder SMB, da sie nur mit den Funktionen des Print Spooler arbeitet.
• Dieses Skript enthält ein Base64-codiertes, GZIP-komprimiertes Payload für eine benutzerdefinierte DLL, das entsprechend Ihren Argumenten gepatcht wird, um einfach einen neuen Benutzer zur lokalen Administratorengruppe hinzuzufügen.
• Dieses Skript enthält Methoden von PowerSploit/PowerUp, um reflektiv auf die Win32-APIs zuzugreifen.
• Diese Methode durchläuft nicht alle Druckertreiber, um den passenden DLL-Pfad zu finden – sie nimmt einfach den ersten Treiber und ermittelt den passenden Pfad.