Edição de Escalação de Privilégio Local do CVE-2021-1675/CVE-2021-34527

Implementação de Escalação de Privilégio Local do CVE-2021-1675/CVE-2021-34527 (também conhecido como PrintNightmare). O exploit foi editado a partir do publicado por Zhiniang Peng (@edwardzpeng) & Xuefeng Li (@lxf02942370).

Abra o projeto no MSVC e compile no modo Release x64. O exploit encontra automaticamente o UNIDRV.DLL, nenhuma alteração é necessária no código.

Uso

Ao executar o exploit, você precisa do caminho da DLL como primeiro argumento. É só isso e pronto!

CVE-2021-1675-LPE.exe PAYLOAD_DLL_PATH

O exploit foi testado no Windows Server 2019 Standard totalmente atualizado.

Cobalt Strike

Apenas para a versão Reflective DLL, você precisa alterar o caminho da DLL na linha 111 do arquivo main.cpp e então compilar o projeto. Carregue o lpe_cve_2021_1675.cna e use o comando lpe_cve_2021_1675 para executar a Reflective DLL.

Mitigação

Desabilite o serviço Spooler

Stop-Service Spooler
REG ADD  "HKLM\SYSTEM\CurrentControlSet\Services\Spooler"  /v "Start " /t REG_DWORD /d "4" /f

Ou desinstale o Print-Services

Uninstall-WindowsFeature Print-Services

Referências

• https://github.com/afwu/PrintNightmare
• https://twitter.com/hackerfantastic/status/1410069557398679552
• https://twitter.com/0gtweet/status/1410150462842544130