CVE-2021-1675 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | 1º de julho de 2021

CVE-2021-1675 é uma vulnerabilidade crítica de execução remota de código e escalonamento local de privilégios apelidada de "PrintNightmare".

Provas de conceito foram divulgadas (Python, C++) para a capacidade de execução remota de código, e uma versão em C# para escalonamento local de privilégios. Não tínhamos visto uma implementação nativa em PowerShell puro, e queríamos tentar refinar e recriar o exploit.

Este script PowerShell realiza escalonamento local de privilégios (LPE) com a técnica de ataque PrintNightmare.

Foi testado no Windows Server 2016 e Windows Server 2019.

Uso

Adiciona um novo usuário ao grupo de administradores locais por padrão:

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare # adiciona o usuário `adm1n`/`P@ssw0rd` no grupo de administradores locais por padrão

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

Forneça um payload DLL personalizado para fazer qualquer outra coisa que desejar.

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

Detalhes

• A técnica de LPE não precisa funcionar com RPC ou SMB remoto, pois trabalha apenas com as funções do Print Spooler.
• Este script incorpora um payload GZIPped codificado em Base64 para uma DLL personalizada, que é corrigida de acordo com seus argumentos, para adicionar facilmente um novo usuário ao grupo de administradores locais.
• Este script incorpora métodos do PowerSploit/PowerUp para acessar reflexivamente as APIs Win32.
• Este método não percorre todos os drivers de impressora para encontrar o caminho apropriado da DLL — ele simplesmente captura o primeiro driver e determina o caminho apropriado.