CVE-2021-1675 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | 2021年6月1日

CVE-2021-1675 は、"PrintNightmare" と呼ばれる重大なリモートコード実行およびローカル権限昇格の脆弱性です。

リモートコード実行機能の概念実証エクスプロイトが公開されています（Python、C++）。また、ローカル権限昇格用のC#版もあります。私たちは純粋なPowerShellによるネイティブ実装を見たことがなく、エクスプロイトの改良と再構築に挑戦したいと考えました。

このPowerShellスクリプトは、PrintNightmare攻撃手法を使用してローカル権限昇格（LPE）を実行します。

このスクリプトはWindows Server 2016およびWindows Server 2019でテストされています。

使い方

デフォルトでローカル管理者グループに新しいユーザーを追加します。

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

カスタムDLLペイロードを指定して、他に好きなことを実行します。

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

詳細

• LPE手法はリモートRPCやSMBを必要とせず、Print Spoolerの機能のみで動作します。
• このスクリプトは、カスタムDLL用のBase64エンコードされたGZIP圧縮ペイロードを埋め込んでおり、引数に応じてパッチが適用され、ローカル管理者グループに新しいユーザーを簡単に追加できます。
• このスクリプトは、PowerSploit/PowerUp のメソッドを埋め込んで、Win32 APIにリフレクティブにアクセスします。
• この方法は、適切なDLLパスを見つけるためにすべてのプリンタドライバをループしません。最初のドライバを取得して適切なパスを決定します。