CVE-2009-0229-PoC

PoC para CVE-2009-0229 "Vulnerabilidad de lectura de archivos del Print Spooler" LPE AFR (relacionado con CVE-2020-1048)

Detalles

• Autor: Andrei Costin ([email protected])
  • https://twitter.com/costinandrei/
• Fecha del PoC: 2010-xx-xx
• Fecha de publicación: 2020-05-14 (recordado/inspirado por CVE-2020-1048 - sí, llegué tarde a la fiesta :D )
• Resumen
  • Si quieres 0days, excava el subsistema de impresión y fax de los SO :) - mucho código heredado por razones históricas - hay vulnerabilidades para todos =)

Notas

• Nota1: No verificado - no estoy 100% seguro de que sea el mismo error que desencadena CVE-2009-0229

• Nota2: No verificado - podría funcionar en sistemas más nuevos como Windows Server 2012 y Windows Server 2016

• Nota3: Todas las versiones de Windows vienen con 4 archivos predeterminados de "Página separadora"

  • pcl.sep
  • pscript.sep
  • sysprint.sep
  • sysprtj.sep

• Nota4: Este truco es más antiguo que Windows 95 =), bastante seguro de que fue usado por profesionales para "recuperación sigilosa de información" ;)

Requisitos previos

• El atacante local (no administrador) tiene "derechos de administración de impresoras"
  • opción1: puede agregar una nueva impresora
  • opción2: puede modificar la configuración de una impresora existente "de todo el sistema" (muchas veces es el caso)
• El "archivo arbitrario" para exfiltración no tiene permiso explícito de "Denegar lectura"
  • muy improbable ya que eso haría que el acceso a los archivos para la víctima fuera realmente poco práctico/inutilizable

Ejecución del PoC

• El atacante local configura cualquier impresora a la que tenga acceso para que use un archivo de "Página separadora" proporcionado por el atacante (attack.sep), ahora el atacante tiene una "impresora armada"

  • Consulte "Referencias de Página separadora de Windows" a continuación para más detalles

• El atacante local crea el archivo de "Página separadora" (attack.sep) para usar el operador "@F"/"$F", de la siguiente manera, donde se supone que el archivo a exfiltrar es "C:\secret.txt" (nótese la \ y la concatenación directa al operador @F)

@
@FC:\\secret.txt

• El atacante local necesita imprimir algo usando la impresora "armada" anterior

  • Por ejemplo, el atacante local abre el Bloc de notas, imprime el documento vacío a través de la impresora configurada anteriormente con el archivo de "Página separadora"
  • El atacante local usa la opción "imprimir en archivo" (por ejemplo, c:\temp\exfiltrated.out) al imprimir - hay opciones "imprimir en archivo" .ps en la mayoría de las versiones de Windows + .xps en las más nuevas (http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm)
    • Esto se hace para que el contenido del archivo exfiltrado no vaya a la impresora (aunque también es una opción), sino que esté inmediatamente disponible para el atacante

• Mejora del ataque: un archivo de "Página separadora" puede contener una lista de fuerza bruta de las rutas/nombres de archivo más comunes

• También está el operador @L :)

  • ver mi "PostScript: Danger Ahead?!" https://scholar.google.fr/scholar?oi=bibs&hl=en&q=related:RGJbW-sFP9sJ:scholar.google.com/
  • ver también pscript.sep y sysprint.sep

Curiosidades

• Encontrado en 2010 cuando estaba haciendo investigación/charlas "Hacking Printers for Fun and Profit"

  • https://www.youtube.com/watch?v=R56ZXErKCeE
  • https://www.youtube.com/watch?v=KrWFOo2RAnk
  • https://www.youtube.com/watch?v=JcfxvZml6-Y
  • http://andreicostin.com/papers/Conf%20-%20EuSecWest2010_AndreiCostin_HackingPrintersForFunAndProfit_full.pdf
  • encontrado independientemente del remitente de CVE-2009-0229 - hasta hoy, no sabía que existía este CVE-2009-0229 =)), pensé que estaba sentado en un 0day =))

• Estoy bastante seguro de que los subsistemas de impresión y fax están plagados de vulnerabilidades desde Windows 3.1 (por razones históricas)

Referencias de seguridad

• "Microsoft Security Bulletin MS09-022 - Crítico"

  • https://docs.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-022
  • https://support.microsoft.com/de-ch/help/961501

• CVE-2009-0229

  • https://nvd.nist.gov/vuln/detail/CVE-2009-0229
  • https://vuldb.com/?id.48511

• CVE-2020-1048

  • https://windows-internals.com/printdemon-cve-2020-1048/

Referencias de "Página separadora" de Windows

• Así es como se ven los diálogos de "Página separadora" en varias versiones de Windows
  • https://www.google.com/search?q=%22Separator+Page%22+windows&source=lnms&tbm=isch
• Así es como se ve "Imprimir en archivo" en algunas versiones de Windows
  • http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm
• "Página separadora" en "Hands-On Microsoft Windows Server 2016 de Michael Palmer"
  • https://books.google.fi/books?id=zi-dBAAAQBAJ&pg=PA267&lpg=PA267&dq=%22SYSPRTJ.SEP%22+windows+10&source=bl&ots=TUGyElUQdc&sig=ACfU3U0WMpu6Y3EY5vo5MAJxNE04DjRtbg&hl=en&sa=X&ved=2ahUKEwid6arL6LPpAhUPAxAIHaF9AXYQ6AEwA3oECAcQAQ#v=onepage&q=%22SYSPRTJ.SEP%22%20windows%2010&f=false
• "Crear páginas separadoras personalizadas en Windows Server 2012/2016"
  • https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/jj149734(v=ws.11)?redirectedfrom=MSDN
• "Usar una página separadora al imprimir en Windows"
  • https://computingondemand.com/use-a-separator-page-when-printing-in-windows/
• "¿Cómo configuro una página separadora de impresión?"
  • https://www.itprotoday.com/cloud-computing/how-do-i-configure-print-separator-page