CVE-2021-34527 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | June 1, 2021

2021年6月2日更新: Microsoft は CVE-2021-34527 に関するアドバイザリを公開し、その特定の識別子を PrintNightmare 脆弱性エクスプロイトとして正しく呼称しました。以前、コミュニティは CVE-2021-1675 が「PrintNightmare」であると想定していましたが、6月8日のパッチではこの問題は解決されませんでした。このリポジトリは、CVE 名が異なるだけでオリジナルと同一です。

CVE-2021-34527 は、「PrintNightmare」と呼ばれる、重大なリモートコード実行およびローカル権限昇格の脆弱性です。

リモートコード実行機能に対する Proof-of-Concept エクスプロイトが公開されています（Python、C++）。また、ローカル権限昇格用の C# 版 も公開されています。純粋な PowerShell によるネイティブ実装は見かけなかったため、このエクスプロイトを改良・再構築してみたいと考えました。

この PowerShell スクリプトは、PrintNightmare 攻撃手法を用いてローカル権限昇格（LPE）を実行します。

このスクリプトは Windows Server 2016 および Windows Server 2019 でテストされています。

Usage

デフォルトでローカル管理者グループに新しいユーザーを追加します：

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

カスタム DLL ペイロードを指定して、他の任意の操作を行うこともできます。

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

Details

• この LPE 手法は、Print Spooler の機能のみを使用するため、リモート RPC や SMB を必要としません。
• このスクリプトには、カスタム DLL 用の Base64 エンコードされた GZIP 圧縮ペイロードが埋め込まれており、引数に応じてパッチが適用され、ローカル管理者グループへの新しいユーザー追加を簡単に行えます。
• このスクリプトには、Win32 API にリフレクティブにアクセスするための PowerSploit/PowerUp のメソッドが埋め込まれています。
• この手法では、適切な DLL パスを見つけるためにすべてのプリンタードライバーをループ処理しません。単純に最初のドライバーを取得して適切なパスを決定します。