Édition d'élévation de privilèges locaux de CVE-2021-1675/CVE-2021-34527

Implémentation de l'élévation de privilèges locaux de CVE-2021-1675/CVE-2021-34527 (alias PrintNightmare). L'exploit est modifié à partir de celui publié par Zhiniang Peng (@edwardzpeng) & Xuefeng Li (@lxf02942370).

Ouvrez le projet sur MSVC et compilez en mode Release x64. L'exploit trouve automatiquement UNIDRV.DLL, aucune modification n'est requise dans le code.

Utilisation

Lors de l'exécution de l'exploit, vous devez fournir le chemin de la DLL comme premier argument. C'est tout, et c'est parti !

CVE-2021-1675-LPE.exe PAYLOAD_DLL_PATH

L'exploit a été testé sur un Windows Server 2019 Standard entièrement mis à jour.

Cobalt Strike

Pour la version DLL réflective uniquement, vous devez modifier le chemin de la DLL à la ligne 111 du fichier main.cpp, puis compiler le projet. Chargez lpe_cve_2021_1675.cna et utilisez la commande lpe_cve_2021_1675 pour exécuter la DLL réflective.

Atténuation

Désactiver le service Spooler

Stop-Service Spooler
REG ADD  "HKLM\SYSTEM\CurrentControlSet\Services\Spooler"  /v "Start " /t REG_DWORD /d "4" /f

Ou désinstaller les services d'impression

Uninstall-WindowsFeature Print-Services

Références

• https://github.com/afwu/PrintNightmare
• https://twitter.com/hackerfantastic/status/1410069557398679552
• https://twitter.com/0gtweet/status/1410150462842544130