PrintNightmare: la patch di Microsoft non basta

Lug 08, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

L’azienda di Satya Nadella ha rilasciato un aggiornamento straordinario, ma secondo i ricercatori basta modificare l’exploit per aggirarlo.

L’incubo non è ancora finito: la vulnerabilità PrintNightmare che affligge tutte le versioni di Windows rimane un problema nonostante gli sforzi da parte di Microsoft di arginarne l’impatto.

Il bug, indicato con i due codici CVE-2021-1675 e CVE-2021-34527 a causa di un pasticcio a livello comunicativo che ha avuto come effetto collaterale la pubblicazione su Internet degli exploit, consentirebbe a un pirata informatico di colpire i sistemi Windows attraverso l’esecuzione di codice in remoto.

In seguito all’allarme suscitato dalla notizia (e al fatto che fossero già disponibili i Proof of Concept per sfruttare la falla di sicurezza) dalle parti di Redmond hanno fatto gli straordinari per correggere il problema e rilasciare a tempo di record una patch straordinaria.

Le cose, però, non sono andate particolarmente bene. Le prime analisi dei ricercatori hanno infatti rilevato come l’aggiornamento correggesse soltanto uno degli aspetti legati al bug, cioè quello relativo all’esecuzione di codice in remoto.

La vulnerabilità avrebbe consentito comunque di eseguire una elevazione di privilegi dell’utente, consentendo di operare a livello di sistema.

The Microsoft fix released for recent #PrintNightmare vulnerability addresses the remote vector – however the LPE variations still function. These work out of the box on Windows 7, 8, 8.1, 2008 and 2012 but require Point&Print configured for Windows 2016,2019,10 & 11(?). 🤦‍♂️ https://t.co/PRO3p99CFo

— Hacker Fantastic (@hackerfantastic) July 6, 2021

Da un’analisi più accurata, però, è emerso che la patch sviluppata da Microsoft lascia “scopeto” anche il problema relativo all’esecuzione di codice in remoto. In particolare, è sufficiente modificare gli exploit in circolazione per poterli utilizzare su tutti i sistemi in cui è attiva la modalità “Point And Print”.

I test eseguiti da numerosi ricercatori hanno confermato la persistenza della vulnerabilità, che rimane di conseguenza un problema ancora insoluto. L’unico metodo per mettere in sicurezza i sistemi è, al momento, quello di disabilitare lo spooler di stampa.

Dealing with strings & filenames is hard😉
New function in #mimikatz 🥝to normalize filenames (bypassing checks by using UNC instead of \\server\share format)

So a RCE (and LPE) with #printnightmare on a fully patched server, with Point & Print enabled

> https://t.co/Wzb5GAfWfd pic.twitter.com/HTDf004N7r

— 🥝 Benjamin Delpy (@gentilkiwi) July 7, 2021

In alternativa, è possibile ricorrere alle “micro patch” messe a punto dalla società di sicurezza 0Patch e distribuite gratuitamente a partire dallo scorso 2 luglio.

Attenzione, però: stando a quanto scrivono su Twitter i responsabili di 0Patch, l’applicazione dell’aggiornamento di Microsoft modifica alcuni elementi che rendono inutili le micro patch da loro sviluppate.

Insomma: a due giorni dal rilascio dell’aggiornamento di Microsoft, PrintNightmare continua a rappresentare una minaccia con il solo effetto, almeno per adesso, di creare una gran confusione.

Condividi l'articolo