CVE-2021-1675 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | 1. Juli 2021

CVE-2021-1675 ist eine kritische Schwachstelle, die Remote-Codeausführung und lokale Rechteausweitung ermöglicht und als „PrintNightmare“ bezeichnet wird.

Proof-of-Concept-Exploits wurden für die Remote-Codeausführung veröffentlicht (Python, C++), sowie eine C#-Variante für die lokale Rechteausweitung. Wir hatten noch keine native Implementierung in reinem PowerShell gesehen und wollten uns daran versuchen, den Exploit zu verfeinern und neu zu gestalten.

Dieses PowerShell-Skript führt mit der PrintNightmare-Angriffstechnik eine lokale Rechteausweitung (LPE) durch.

Dies wurde unter Windows Server 2016 und Windows Server 2019 getestet.

Verwendung

Fügt standardmäßig einen neuen Benutzer zur lokalen Administratorengruppe hinzu:

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

Stellen Sie eine eigene DLL-Nutzlast bereit, um alles andere zu tun, was Sie möchten.

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

Details

• Die LPE-Technik benötigt kein Remote-RPC oder SMB, da sie ausschließlich mit den Funktionen des Print Spooler arbeitet.
• Dieses Skript enthält eine Base64-kodierte, mit GZIP komprimierte Nutzlast für eine eigene DLL, die entsprechend Ihren Argumenten angepasst wird, um auf einfache Weise einen neuen Benutzer zur lokalen Administratorengruppe hinzuzufügen.
• Dieses Skript enthält Methoden aus PowerSploit/PowerUp für den reflektiven Zugriff auf die Win32-APIs.
• Diese Methode durchläuft nicht alle Druckertreiber, um den passenden DLL-Pfad zu finden -- sie greift einfach den ersten Treiber und ermittelt den passenden Pfad.