CVE-2021-34527 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | June 1, 2021

AGGIORNAMENTO 2 giugno 2021: Microsoft ha pubblicato un advisory su CVE-2021-34527, definendo correttamente tale identificatore specifico come exploit della vulnerabilità PrintNightmare. In precedenza, la community presumeva che CVE-2021-1675 "fosse PrintNightmare", poiché la patch dell'8 giugno non risolveva il problema. Questo repository è identico all'originale con l'unica differenza del nome del CVE.

CVE-2021-34527 è una vulnerabilità critica di esecuzione remota di codice e di escalation locale dei privilegi, soprannominata "PrintNightmare".

Sono stati rilasciati exploit proof-of-concept (Python, C++) per la capacità di esecuzione remota di codice, e una versione in C# per l'escalation locale dei privilegi. Non avevamo visto un'implementazione nativa in puro PowerShell e abbiamo voluto cimentarci nel perfezionare e rielaborare l'exploit.

Questo script PowerShell esegue l'escalation locale dei privilegi (LPE) con la tecnica di attacco PrintNightmare.

È stato testato su Windows Server 2016 e Windows Server 2019.

Utilizzo

Aggiunge un nuovo utente al gruppo degli amministratori locali per impostazione predefinita:

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

Fornisci un payload DLL personalizzato per fare qualsiasi altra cosa tu voglia.

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

Dettagli

• La tecnica LPE non necessita di funzionare con RPC o SMB remoti, poiché lavora esclusivamente con le funzioni di Print Spooler.
• Questo script incorpora un payload GZIP con codifica Base64 per una DLL personalizzata, che viene modificato in base ai tuoi argomenti, per aggiungere facilmente un nuovo utente al gruppo degli amministratori locali.
• Questo script incorpora metodi da PowerSploit/PowerUp per accedere riflessivamente alle API Win32.
• Questo metodo non scorre tutti i driver di stampa per trovare il percorso DLL appropriato -- prende semplicemente il primo driver e determina il percorso appropriato.