CVE-2009-0229-PoC

Preuve de concept pour CVE-2009-0229 "Vulnérabilité de lecture de fichier du spouleur d'impression" LPE AFR (lié à CVE-2020-1048)

Détails

Auteur : Andrei Costin ([email protected])
- https://twitter.com/costinandrei/
Date du PoC : 2010-xx-xx
Date de publication : 2020-05-14 (rappelé/inspiré par CVE-2020-1048 - oui, je suis arrivé trop tard à la fête :D )
TL;DR
- Si vous voulez des 0day, fouillez le sous-système d'impression et de télécopie des OS :) - beaucoup de code hérité pour des raisons historiques - il y a des vulnérabilités pour tout le monde =)

Remarque1 : Non vérifié - pas sûr à 100% que ce soit le même bogue qui déclenche le CVE-2009-0229
Remarque2 : Non vérifié - pourrait fonctionner sur des systèmes plus récents comme Windows Server 2012 et Windows Server 2016
Remarque3 : Toutes les versions de Windows sont livrées avec 4 fichiers "Page de séparation" par défaut
- pcl.sep
- pscript.sep
- sysprint.sep
- sysprtj.sep
Remarque4 : Cette astuce est plus vieille que Windows 95 =), je suis presque sûr qu'elle a été utilisée par des pros pour la "récupération furtive d'informations" ;)

(attaquant local non-admin) a des "droits de gestion d'imprimante"
- option1 : peut ajouter une nouvelle imprimante
- option2 : peut modifier les paramètres d'une imprimante existante "à l'échelle du système" (souvent le cas)
le "fichier arbitraire" à exfiltrer n'a pas de permission explicite "Refuser la lecture"
- très peu probable car cela rendrait l'accès aux fichiers pour la victime vraiment peu pratique/inutilisable

L'attaquant local configure n'importe quelle imprimante à laquelle il/elle a accès pour utiliser un fichier "Page de séparation" fourni par l'attaquant (attack.sep), l'attaquant a maintenant une "imprimante armée"
- Voir "Références sur la page de séparation Windows" ci-dessous pour les détails
L'attaquant local crée le fichier "Page de séparation" (attack.sep) pour utiliser l'opérateur "@F"/"$F", comme suit, où le fichier à exfiltrer est supposé être "C:\secret.txt" (remarquez le \ et la concaténation directe à l'opérateur @F)

@
@FC:\\secret.txt

L'attaquant local doit imprimer quelque chose en utilisant l' "imprimante armée" ci-dessus
- Par exemple, l'attaquant local ouvre le Bloc-notes, imprime le document vide via l'imprimante configurée ci-dessus avec le fichier "Page de séparation"
- L'attaquant local utilise l'option "imprimer dans un fichier" (par ex., c:\temp\exfiltrated.out) lors de l'impression - il y a des "print to file" .ps dans la plupart des versions de Windows + .xps dans les versions plus récentes (http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm)
  - Ceci est fait pour que le contenu du fichier exfiltré n'aille pas vers l'imprimante (bien que ce soit aussi une option), mais devienne immédiatement disponible pour l'attaquant
Amélioration de l'attaque : un fichier "Page de séparation" peut contenir une liste par force brute des chemins/noms de fichiers les plus courants
Il y a aussi l'opérateur @L :)
- voir mon "PostScript: Danger Ahead?!" https://scholar.google.fr/scholar?oi=bibs&hl=en&q=related:RGJbW-sFP9sJ:scholar.google.com/
- voir aussi pscript.sep et sysprint.sep

Trouvé en 2010 alors que je faisais des recherches/présentations "Hacking Printers for Fun and Profit"
- https://www.youtube.com/watch?v=R56ZXErKCeE
- https://www.youtube.com/watch?v=KrWFOo2RAnk
- https://www.youtube.com/watch?v=JcfxvZml6-Y
- http://andreicostin.com/papers/Conf%20-%20EuSecWest2010_AndreiCostin_HackingPrintersForFunAndProfit_full.pdf
- trouvé indépendamment du soumetteur de CVE-2009-0229 - jusqu'à aujourd'hui, je ne savais pas qu'il y avait ce CVE-2009-0229 =)), je pensais être assis sur un 0day =))
Je suis presque sûr que les sous-systèmes d'impression et de télécopie sont truffés de vulnérabilités depuis Windows 3.1 (pour des raisons historiques)