Falha no Windows permite escalada de privilégios para contas

Uma falha no Windows permite escalada de privilégios para constas comuns de usuários concedendo permissões administrativas do sistema.

Novamente, uma falha no Windows permite escalada de privilégios administrativos para contas comuns de qualquer usuário.

Falhas graves de segurança no Windows tem se tornado comuns nos últimos anos, mesmo após esforço da Microsoft para melhorar a segurança no seu sistema.

A falha, chamada de SignDrop, afeta a forma como o sistema lida com o driver do Common Log File System (CLFS).

Falha no Windows permite escalada de privilégios para contas

Por ironia essa vulnerabilidade ocorre porque um recurso criado para proteger o computador contra invasões apresenta um erro lógico ao lidar com arquivos de registro.

A falha foi descoberta pelo pesquisador MSNightmare e foi divulgada em seu Github sem nenhum aviso prévio no dia que a Microsoft divulgou suas atualizações de segurança.

Na ferramenta CLFS foi adicionada uma verificação baseada em código de autenticação de mensagem (HMAC).

Desta forma foram criadas chaves exclusivas de cada computador, pois já haviam explorado falhas nessa área para aplicar golpes de ransomware anteriormente.

O pesquisador descobriu que a lógica de criação do arquivo complementar de recuperação, chamado de “.cnpf” possui uma falha de conceito na sua aplicação.

Na prática um processo privilegiado abre um registro (log) preparado por um usuário comum e o driver cria um documento que herda as permissões vulneráveis. 

Neste contexto é possível que um atacante escreva nele e encadeie o acesso para assumir o controle da máquina.

Embora a falha funcione conforme descrito, para o sucesso da sua exploração seria necessário que o o Windows Defender esteja ativado e ainda não opere com estabilidade suficiente para uso operacional.

A falha afeta o Windows 11 e o Windows Server em configurações padrão em que a autenticação do CLFS opera nos modos de fiscalização ou aprendizado.

E até o momento a Microsoft não notificou qualquer tipo de correção ou forma de contornar a falha.