Come funziona l’exploit di Windows Installer che permette di ottenere i privilegi di admin

Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la presenza della CVE-2024-38014, una vulnerabilità di elevation of privilege presente nella funzionalità Windows Installer che consente a un attaccante di ottenere i privilegi SYSTEM e prendere il controllo del dispositivo.

Pixabay

Come si legge sul blog di SEC Consult, la firma di sicurezza che per prima ha individuato il bug, il problema risiede nella shell command che si apre per un istante durante l’esecuzione dell’MSI installer di Windows, più precisamente quando si utilizza la funzionalità repair per un programma già installato.

“Mentre l’installazione e la rimozione del software richiedono solitamente autorizzazioni elevate, la funzione di repair del software già installato può essere eseguita da un utente con privilegi bassi” spiega Micheal Baer, ricercatore di SEC Consult Vulnerability Lab. “Le funzioni di repair possono tuttavia essere eseguite nel contesto di NT AUTHORITY\SYSTEM, privilegi di accesso molto elevati in Windows. Se un utente è in grado di interferire con queste funzioni, può eseguire un attacco di privilege escalation“.

L’exploit di Windows Installer

Baer spiega che per sfruttare la vulnerabilità è necessario avere accesso alla GUI e a un browser come Firefox o Chrome; l’exploit non funziona con le versioni più recenti di Edge o Internet Explorer.

Dopo aver invocato il repair di un’applicazione già installata, il Windows Installer viene eseguito con privilegi SYSTEM ed esso aprirà una console con privilegi elevati; a questo punto è possibile navigare la GUI della console per aprire un’altra shell command interattiva con privilegi elevati.

Nel dettaglio, quando la console viene aperta occorre cliccare col tasto destro sulla barra della finestra prima che si chiuda, selezionare l’opzione “Proprietà” e poi cliccare su “legacy console mode”. Questa opzione aprirà una finestra di dialogo in cui l’utente dovrà selezionare il browser con cui aprire la nuova console, preferibilmente Firefox; dopo averlo selezionato, occorre cliccare Ctrl+O sul browser per aprire una finestra di dialogo per l’apertura di un file. Qui l’attaccante deve digitare cmd.exe nella barra in alto e cliccare su INVIO per aprire una nuova shell command, questa volta con privilegi SYSTEM.

Nel caso in cui la prima console si chiuda troppo in fretta, è possibile usare SetOpLock.exe, un tool che blocca l’applicazione in fase di repair e quindi il processo sottostante, lasciando aperta la shell command.

Nonostante ci siano alcune condizioni da rispettare per eseguire l’exploit e non tutti gli installer siano vulnerabili all’attacco, la vulnerabilità è considerata ad alto impatto in quanto non richiede l’interazione utente per essere sfruttata, né privilegi elevati. Per verificare se l’installer è vulnerabile, i ricercatori di SEC Consult hanno sviluppato e rilasciato uno script Python per analizzare i file .MSI e individuare quelli vulnerabili.

SEC Consult aveva individuato la vulnerabilità a gennaio di quest’anno e l’aveva subito segnalata a Microsoft. La compagnia aveva programmato il rilascio della patch per maggio, ma a causa di alcune regressioni nel fix è stata costretta a far slittare il rilascio a pochi giorni fa.

Microsoft invita i suoi utenti ad aggiornare il prima possibile i dispositivi vulnerabili installando l’ultima patch di sicurezza.