CVE-2021-34527 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | 1 de junho de 2021

ATUALIZAÇÃO 2 de junho de 2021: A Microsoft lançou um aviso sobre CVE-2021-34527, denominando corretamente esse identificador específico como a exploração da vulnerabilidade PrintNightmare. Anteriormente, a comunidade presumia que CVE-2021-1675 "era PrintNightmare", já que a correção de 8 de junho não resolvia esse problema. Este repositório é idêntico ao original, apenas com o nome de CVE diferente.

CVE-2021-34527 é uma vulnerabilidade crítica de execução remota de código e elevação de privilégio local, apelidada de "PrintNightmare".

Exploits de prova de conceito foram lançados (Python, C++) para a capacidade de execução remota de código, e uma versão em C# para elevação de privilégio local. Não tínhamos visto uma implementação nativa em PowerShell puro, e queríamos tentar refinar e reconstruir o exploit.

Este script PowerShell realiza elevação de privilégio local (LPE) com a técnica de ataque PrintNightmare.

Isso foi testado no Windows Server 2016 e no Windows Server 2019.

Uso

Adiciona um novo usuário ao grupo de administradores locais por padrão:

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

Forneça um payload DLL personalizado para fazer qualquer outra coisa que você queira.

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

Detalhes

• A técnica de LPE não precisa trabalhar com RPC ou SMB remotos, pois opera apenas com as funções do Spooler de Impressão.
• Este script incorpora um payload compactado com GZIP e codificado em Base64 para uma DLL personalizada, que recebe patch de acordo com seus argumentos, para adicionar facilmente um novo usuário ao grupo de administradores locais.
• Este script incorpora métodos do PowerSploit/PowerUp para acessar reflexivamente as APIs Win32.
• Este método não percorre todos os drivers de impressora para encontrar o caminho apropriado da DLL -- ele simplesmente pega o primeiro driver e determina o caminho apropriado.