Patch de correção da Microsoft ainda não resolve a grave falha PrintNightmare

O caso PrintNightmare ganha mais um capítulo em sua história. Depois que a falha foi encontrada no Windows e que pesquisadores acabaram revelando sem querer os códigos para que ela fosse explorada, a Microsoft se apressou em lançar logo um novo patch com correções que acabaria de vez com os ataques. Porém, não foi exatamente isso que aconteceu.

Leia também:

Ex-funcionários da Microsoft detonam Bill Gates e o descrevem como ríspido e de pavio curto
Microsoft apresenta o novo Explorador de Arquivos com cabeçalho redesenhado

Novo patch está incompleto

A Microsoft lançou essa semana um novo pacote com correções que prometia proteger seus usuários conta ataques na vulnerabilidade CVE-2021-34527, que também está sendo conhecida como PrintNightmare, já que ela afeta o scooler de impressão. Porém o problema não foi resolvido inteiramente.

Segundo especialistas, o pacote de correções KB5004945 que foi liberado essa semana para diversos sistemas operacionais da empresa, de fato conseguiu corrigir o bug que permitia que invasores pudessem executar códigos de forma remota, mas ainda existem outros problemas a respeito dessa falha que não foram corrigidos.

Os pesquisadores fazem parte de uma empresa dedicada a estudar e identificar vulnerabilidades como essa, a Hacker House. Segundo eles, a falha ainda existe, e ainda há como invasores explorarem essa falha para conseguir privilégios de administrador nos computadores das vítimas e realizar diversos tipos de ações.

Quem relatou isso foi Matthew Hickey, que é co-fundador da Hacker House, e fez uma postagem no Twitter. Nela, ele confirma que a falha ainda está lá e que ainda é possível passar por cima do novo patch de segurança da Microsoft e explorá-la.

Fully patched Windows 2019 domain controller, popped with 0day exploit (CVE-2021-1675) from a regular Domain User's account giving full SYSTEM privileges. Disable "Print Spooler" service on servers that do not require it. pic.twitter.com/6SUVQYy5Tl

— hackerfantastic.x (@hackerfantastic) June 30, 2021

Ele não foi o único, já que Will Dormann, que é analista de vulnerabilidades do centro de pesquisas CERT/CC, confirmou essas informações, anunciando que a única coisa que foi corrigida com o patch foi o componente que permitia uma execução remota.

Além disso, muitos especialistas que começaram a testar o patch de segurança da Microsoft anunciaram que mesmo a correção inteira ainda é ultrapassada, ou seja, dificilmente conseguirá resolver o problema da execução remota e dos privilégios de administrador.

Benjamin Deply, que é criador de um aplicativo open-source chamado Mimikatz, confirmou essa informação sobre o patch ser ultrapassado e que por isso ele não teria como acessar a falha PrintNightmate de forma completa. Outros especialistas concordam com isso.

Dealing with strings & filenames is hard😉
New function in #mimikatz 🥝to normalize filenames (bypassing checks by using UNC instead of \\server\share format)

So a RCE (and LPE) with #printnightmare on a fully patched server, with Point & Print enabled

> https://t.co/Wzb5GAfWfd pic.twitter.com/HTDf004N7r

— 🥝🏳️‍🌈 Benjamin Delpy (@gentilkiwi) July 7, 2021

Hickey anunciou que a Hacker House recomenda que os usuários desabilitem o spooler de impressão quando ele não for necessário, evitando assim a chance de ataques, ao menos até que uma correção completa seja liberada pela Microsoft.

Relembre o caso

A falha já havia sido descoberta e a Microsoft já estava encaminhando uma correção, porém um grupo de pesquisadores de segurança da Sangfor Technologies acabou divulgando detalhes sobre os códigos e informações de como explorá-la em uma apresentação de estudo.

Mas não foi por maldade, acontece que eles acreditavam que a ultima correção liberada pela Microsoft também englobava essa falha, e por isso acharam que o problema já estava resolvido. Quando eles souberam que não era essa a realidade, rapidamente tiraram as informações da plataforma, porém ela já tinha sido copiada e divulgada em outros locais.

Com uma espécie de “manual para exploração” da falha nas mãos, muitos invasores se aproveitaram da situação. E essa vulnerabilidade pode ser bastante perigosa se for explorada por hackers ou até mesmo grupos que usam ransomware.

Fonte: Bleepingcomputers