MAL-002: Forzar el reinicio del sistema mediante MSIs de Windows instalados

Una vez que un software se instala correctamente en el sistema, uno o más archivos MSI de confianza aparecerán en la carpeta “C:\Windows\Installer” y pueden permitir a un usuario de bajo privilegio realizar acciones de “reparación” y/o “modificación” como el usuario “NT Authority\System” sin requerir UAC. Al utilizar el programa “msiexec.exe” con el indicador “/forcerestart”, si un atacante realiza con éxito la acción de “reparación”, el sistema objetivo se reiniciará.

Nota: Varios MSIs pueden requerir autenticación de administrador incluso para el procedimiento de reparación, pero estos suelen ser la excepción, no la norma (p. ej., Vmware Tools).

Casos de uso:

Reiniciar un servidor Windows como un usuario de bajo privilegio puede ser útil cuando:

• Se realizan ataques de escalada de privilegios locales que puedan bloquear un servicio (p. ej., ataques de desbordamiento de búfer), para forzar el reinicio del servicio respectivo en caso de que deje de responder
• Se modifica/escribe un archivo de configuración, DLL y/o ejecutable que requiera que un servicio/el sistema se reinicie para que los cambios surtan efecto (p. ej., ataque de orden de búsqueda de DLL)
• Posible DoS mediante el reinicio continuo del objetivo

¿Por qué no hay CVE?

Ni Microsoft ni yo consideramos que esto sea una vulnerabilidad de alto impacto por sí misma, por lo que no se necesitó ningún CVE.

Dicho esto, encuentro la vulnerabilidad bastante interesante y espero que sea útil para alguien que se tope con este repositorio.

Requisitos:

Esta vulnerabilidad requiere:

• Acceso local al sistema objetivo
• Que se hayan instalado uno o más MSIs utilizables en el objetivo

Prueba de Concepto:

Más detalles y el proceso de explotación se pueden encontrar en este PDF.

Cronología:

• Esta vulnerabilidad se informó inicialmente a https://msrc.microsoft.com/ el 18-May-2022
• La vulnerabilidad se consideró un no-problema
• Se volvió a probar la vulnerabilidad el 23-Jan-2024 y se observó que todavía funciona en las versiones más recientes de Windows 11 (OS Build: 22621.3007)
• La vulnerabilidad se divulgó públicamente el 03-Feb-2024