CVE-2021-1675 - PrintNightmare LPE（PowerShell）

Caleb Stewart | John Hammond | 2021年7月1日

CVE-2021-1675は、PrintNightmareと呼ばれる深刻なリモートコード実行およびローカル権限昇格の脆弱性です。

リモートコード実行機能に対する概念実証エクスプロイトが公開されています（Python、C++）。また、ローカル権限昇格用のC#版もあります。純粋なPowerShellでのネイティブ実装は見られなかったため、エクスプロイトを洗練・再構築してみることにしました。

このPowerShellスクリプトは、PrintNightmare攻撃手法を用いてローカル権限昇格（LPE）を実行します。

Windows Server 2016およびWindows Server 2019でテスト済みです。

使用方法

デフォルトでローカル管理者グループに新しいユーザーを追加します：

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare # デフォルトでユーザー `adm1n`/`P@ssw0rd` をローカル管理者グループに追加

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

カスタムDLLペイロードを指定して、他の任意の操作を行います。

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

詳細

• このLPE手法は、リモートRPCやSMBを必要とせず、Print Spoolerの機能のみで動作します。
• このスクリプトには、カスタムDLL用のBase64エンコード・GZIP圧縮されたペイロードが埋め込まれており、引数に応じてパッチが適用され、ローカル管理者グループに新しいユーザーを簡単に追加できます。
• このスクリプトは、PowerSploit/PowerUpのメソッドを埋め込んでおり、Win32 APIをリフレクティブにアクセスします。
• この方法は、すべてのプリンタードライバーをループして適切なDLLパスを見つけるのではなく、最初のドライバーを取得して適切なパスを決定します。