Aggiornamenti recenti Febbraio 6th, 2025 4:39 PM
Set 13, 2024 Marina Londei Approfondimenti, In evidenza, News, RSS, Vulnerabilità, Vulnerabilità 0
Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la presenza della CVE-2024-38014, una vulnerabilità di elevation of privilege presente nella funzionalità Windows Installer che consente a un attaccante di ottenere i privilegi SYSTEM e prendere il controllo del dispositivo.
Pixabay
Come si legge sul blog di SEC Consult, la firma di sicurezza che per prima ha individuato il bug, il problema risiede nella shell command che si apre per un istante durante l’esecuzione dell’MSI installer di Windows, più precisamente quando si utilizza la funzionalità repair per un programma già installato.
“Mentre l’installazione e la rimozione del software richiedono solitamente autorizzazioni elevate, la funzione di repair del software già installato può essere eseguita da un utente con privilegi bassi” spiega Micheal Baer, ricercatore di SEC Consult Vulnerability Lab. “Le funzioni di repair possono tuttavia essere eseguite nel contesto di NT AUTHORITY\SYSTEM, privilegi di accesso molto elevati in Windows. Se un utente è in grado di interferire con queste funzioni, può eseguire un attacco di privilege escalation“.
Baer spiega che per sfruttare la vulnerabilità è necessario avere accesso alla GUI e a un browser come Firefox o Chrome; l’exploit non funziona con le versioni più recenti di Edge o Internet Explorer.
Dopo aver invocato il repair di un’applicazione già installata, il Windows Installer viene eseguito con privilegi SYSTEM ed esso aprirà una console con privilegi elevati; a questo punto è possibile navigare la GUI della console per aprire un’altra shell command interattiva con privilegi elevati.
Nel dettaglio, quando la console viene aperta occorre cliccare col tasto destro sulla barra della finestra prima che si chiuda, selezionare l’opzione “Proprietà” e poi cliccare su “legacy console mode”. Questa opzione aprirà una finestra di dialogo in cui l’utente dovrà selezionare il browser con cui aprire la nuova console, preferibilmente Firefox; dopo averlo selezionato, occorre cliccare Ctrl+O sul browser per aprire una finestra di dialogo per l’apertura di un file. Qui l’attaccante deve digitare cmd.exe nella barra in alto e cliccare su INVIO per aprire una nuova shell command, questa volta con privilegi SYSTEM.
Nel caso in cui la prima console si chiuda troppo in fretta, è possibile usare SetOpLock.exe, un tool che blocca l’applicazione in fase di repair e quindi il processo sottostante, lasciando aperta la shell command.
Nonostante ci siano alcune condizioni da rispettare per eseguire l’exploit e non tutti gli installer siano vulnerabili all’attacco, la vulnerabilità è considerata ad alto impatto in quanto non richiede l’interazione utente per essere sfruttata, né privilegi elevati. Per verificare se l’installer è vulnerabile, i ricercatori di SEC Consult hanno sviluppato e rilasciato uno script Python per analizzare i file .MSI e individuare quelli vulnerabili.
SEC Consult aveva individuato la vulnerabilità a gennaio di quest’anno e l’aveva subito segnalata a Microsoft. La compagnia aveva programmato il rilascio della patch per maggio, ma a causa di alcune regressioni nel fix è stata costretta a far slittare il rilascio a pochi giorni fa.
Microsoft invita i suoi utenti ad aggiornare il prima possibile i dispositivi vulnerabili installando l’ultima patch di sicurezza.
Feb 05, 2025 0
Gen 31, 2025 0
Gen 27, 2025 0
Gen 24, 2025 0
Feb 06, 2025 0
Feb 04, 2025 0
Feb 03, 2025 0
Feb 03, 2025 0
Gen 30, 2025 0
Quando si parla di dati e di privacy, gli utenti si dicono...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Gen 15, 2025 0
Gli ultimi giorni dell’anno sono da sempre...Gen 08, 2025 0
Se finora l’FBI e il governo degli Stati Uniti ha...Gen 02, 2025 0
Oggi le aziende italiane non solo devono affrontare nuove e...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Feb 06, 2025 0
Silent Lynx, un gruppo APT di origine kazaka, è tornato...Feb 05, 2025 0
Il team di Threat Hunting della Zero Day Initiative di...Feb 04, 2025 0
Sophos ha completato l’acquisizione di Secureworks,...Feb 03, 2025 0
Meta ha annunciato di aver smantellato una campagna di...Feb 03, 2025 0
Questa settimana, il CERT-AGID ha identificato e analizzato...