CVE-2021-34527 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | 1 июня 2021

ОБНОВЛЕНИЕ 2 июня 2021: Microsoft выпустила предупреждение по CVE-2021-34527, корректно определяя этот конкретный идентификатор как эксплойт уязвимости PrintNightmare. Ранее сообщество предполагало, что CVE-2021-1675 «и есть PrintNightmare», поскольку патч от 8 июня не устранил эту проблему. Этот репозиторий идентичен оригиналу, просто с другим именем CVE.

CVE-2021-34527 — это критическая уязвимость удалённого выполнения кода и локального повышения привилегий, получившая название «PrintNightmare».

Эксплойты Proof-of-concept были опубликованы для возможности удалённого выполнения кода (Python, C++), а также версия на C# для локального повышения привилегий. Мы не встречали нативной реализации на чистом PowerShell и захотели попробовать свои силы в доработке и переработке этого эксплойта.

Этот скрипт PowerShell выполняет локальное повышение привилегий (LPE) с использованием техники атаки PrintNightmare.

Протестировано на Windows Server 2016 и Windows Server 2019.

Использование

По умолчанию добавляет нового пользователя в локальную группу администраторов:

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

Передайте собственную DLL-нагрузку, чтобы сделать что-то ещё.

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

Подробности

• Для техники LPE не требуется работа с удалёнными RPC или SMB, поскольку она работает только с функциями Print Spooler.
• Этот скрипт содержит встроенную полезную нагрузку DLL, сжатую GZIP и закодированную в Base64, которая подгоняется в соответствии с вашими аргументами, чтобы легко добавить нового пользователя в локальную группу администраторов.
• Этот скрипт включает методы из PowerSploit/PowerUp для рефлексивного доступа к Win32 API.
• Этот метод не перебирает все драйверы принтеров в поисках подходящего пути к DLL — он просто берёт первый драйвер и определяет нужный путь.