-15% na nową książkę sekuraka: Wprowadzenie do bezpieczeństwa IT. Przy zamówieniu podaj kod: 10000

Podatność Serious Sam, czyli wpadka Microsoftu z uprawnieniami do pliku SAM – eskalacja uprawnień Windows 10/11

21 lipca 2021, 11:07 | W biegu | komentarzy 11

Ostatnie miesiące nie były najlepsze dla Microsoftu – jeśli mówimy o błędach bezpieczeństwa czego żywym dowodem jest znalezisko Jonasa Lykkegraarda:

Badacz odkrył trywialny błąd, który pozwala nieuprzywilejowanemu użytkownikowi na odczytanie plików SAM, SYSTEM czy SECURITY. Innymi słowy – zwykły użytkownik, nie będący administratorem, jest w stanie odczytać sekrety systemu, zaszyfrowane hasła użytkowników lokalnych, hasła do konta komputera i wiele innych wrażliwych danych. W praktyce atakujący są w stanie uzyskać uprawnienia typu SYSTEM bez większego nakładu pracy:

Aby sprawdzić, czy nasz system jest dotknięty tą podatnością, wystarczy wpisać komendę “icacls C:\Windows\System32\config\SAM”:

Według badacza bezpieczeństwa Jeffa McJunkina podatność występuje w wersji 1809 Windowsa 10 i nowszej: 

~ Jakub Bielaszewski

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. Bartek
    Odpowiedz
    • Forbidden

      Słuszna uwaga. W momencie pisania artykułu nie było jeszcze łatki, damy edita zaraz z linkiem do MS :)

      Odpowiedz
  2. John

    Ilość błędów od MS, ostatnio poraża :/
    Co robić jak żyć?

    Odpowiedz
    • Tomasz21

      Zmienić dystrybucję, na bardziej przyjazną. I przestać narzekać na coś, co nigdy nie było bezpieczne, od momentu swojego zaistnienia.
      Pozdrawiam.

      Odpowiedz
  3. Ciekawski George

    Ale czy do uzyskania dostępu nie jest potrzebny punkt przywracanie systemu SAM wykonany z uprawnieniami Administracyjnymi?

    Odpowiedz
  4. Tomek

    Całkowicie załatany system i wynik polecenia identyczny, jak się zabezpieczyć?

    Odpowiedz
  5. Jacek

    Hmm, i jak teraz żyć…?

    Odpowiedz
  6. asd

    dzięki świetna wiadomość przy tłumaczeniu pominołeś najważniejsze, jak to rozwiązać

    icacls %windir%\system32\config\sam /remove „Users”
    icacls %windir%\system32\config\security /remove „Users”
    icacls %windir%\system32\config\system /remove „Users”

    Odpowiedz
  7. Z tego co wiem, windowsowski Wiersz POlecenia należy uruchomić z uprawnieniami administratora. I dopiero wtedy wpisać KOmendę do CMD.

    Odpowiedz
    • Nism0

      Nie do końca. Np żeby wylistować dostępne shadow copies, trzeba mieć uprawnienia admina, ale żeby pobrać z nich plik… już nie.

      Jako workaround zaleca się zmianę ACL dla katalogu C:\Windows\System32\config + usunięcie dotychczasowych shadow copies.

      Odpowiedz
  8. Janusz Nosacz

    Pamiętajcie że chodzi o uzyskanie dostępu do SAM/SECURITY z Shadow Copy. Plików systemowych w użyciu nie ruszycie / odczytacie tylko z wolumenów.

    Zatem sama poprawa ACL na plikach systemowych do czasu update shadow copy, nadal pozostawia tam pliki SAM/SECURITY ze starymi ACL.

    Więc rozwiązaniem nie do końca jest sama poprawa ACL, ale także usunięcie bieżących Shadow Copy/aktualizacja.

    Odpowiedz

Odpowiedz na Tomasz21