Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Podatność Serious Sam, czyli wpadka Microsoftu z uprawnieniami do pliku SAM – eskalacja uprawnień Windows 10/11
Ostatnie miesiące nie były najlepsze dla Microsoftu – jeśli mówimy o błędach bezpieczeństwa – czego żywym dowodem jest znalezisko Jonasa Lykkegraarda:
Badacz odkrył trywialny błąd, który pozwala nieuprzywilejowanemu użytkownikowi na odczytanie plików SAM, SYSTEM czy SECURITY. Innymi słowy – zwykły użytkownik, nie będący administratorem, jest w stanie odczytać sekrety systemu, zaszyfrowane hasła użytkowników lokalnych, hasła do konta komputera i wiele innych wrażliwych danych. W praktyce atakujący są w stanie uzyskać uprawnienia typu SYSTEM bez większego nakładu pracy:
Aby sprawdzić, czy nasz system jest dotknięty tą podatnością, wystarczy wpisać komendę “icacls C:\Windows\System32\config\SAM”:
Według badacza bezpieczeństwa Jeffa McJunkina podatność występuje w wersji 1809 Windowsa 10 i nowszej:
~ Jakub Bielaszewski
Warto wspomnieć, że Microsoft opublikował tymczasowe obejście podatności tutaj: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36934
Słuszna uwaga. W momencie pisania artykułu nie było jeszcze łatki, damy edita zaraz z linkiem do MS :)
Ilość błędów od MS, ostatnio poraża :/
Co robić jak żyć?
Zmienić dystrybucję, na bardziej przyjazną. I przestać narzekać na coś, co nigdy nie było bezpieczne, od momentu swojego zaistnienia.
Pozdrawiam.
Ale czy do uzyskania dostępu nie jest potrzebny punkt przywracanie systemu SAM wykonany z uprawnieniami Administracyjnymi?
Całkowicie załatany system i wynik polecenia identyczny, jak się zabezpieczyć?
Hmm, i jak teraz żyć…?
dzięki świetna wiadomość przy tłumaczeniu pominołeś najważniejsze, jak to rozwiązać
icacls %windir%\system32\config\sam /remove „Users”
icacls %windir%\system32\config\security /remove „Users”
icacls %windir%\system32\config\system /remove „Users”
Z tego co wiem, windowsowski Wiersz POlecenia należy uruchomić z uprawnieniami administratora. I dopiero wtedy wpisać KOmendę do CMD.
Nie do końca. Np żeby wylistować dostępne shadow copies, trzeba mieć uprawnienia admina, ale żeby pobrać z nich plik… już nie.
Jako workaround zaleca się zmianę ACL dla katalogu C:\Windows\System32\config + usunięcie dotychczasowych shadow copies.
Pamiętajcie że chodzi o uzyskanie dostępu do SAM/SECURITY z Shadow Copy. Plików systemowych w użyciu nie ruszycie / odczytacie tylko z wolumenów.
Zatem sama poprawa ACL na plikach systemowych do czasu update shadow copy, nadal pozostawia tam pliki SAM/SECURITY ze starymi ACL.
Więc rozwiązaniem nie do końca jest sama poprawa ACL, ale także usunięcie bieżących Shadow Copy/aktualizacja.