Grave vulnerabilidad en Windows PsExec permite escalar privilegios
Un microparche gratuito que soluciona una vulnerabilidad de escalada de privilegios locales (LPE) en la herramienta de administración Windows PsExec de Microsoft ha sido liberado. Este está disponible a través de la plataforma 0patch.
PsExec es un reemplazo de telnet totalmente interactivo que permite a los administradores del sistema ejecutar programas en sistemas remotos. La herramienta PsExec también está integrada y utilizada por herramientas empresariales para iniciar ejecutables de forma remota en otras computadoras.
Este día cero (zero-day) de PsExec es causado por una vulnerabilidad de secuestro de tubería con nombre (también conocida como named pipe squatting). Esta permite a los atacantes engañar a PsExec para que vuelvaa a abrir una tubería con nombre creada maliciosamente y otorgarle permisos de Local System.
Después de explotar con éxito la vulnerabilidad, los actores de amenazas podrán ejecutar procesos arbitrarios como Local System. Esto les permitiría tomar el control de la máquina.
Cualquier computadora con Windows donde “los administradores ejecuten de forma remota el uso de PsExec (o herramientas de administración que utilizan PsExec) si la máquina ya tiene un atacante que no es administrador tratando de elevar sus privilegios” es vulnerable a los ataques que intentan explotar este día cero. .
CEO y cofundador de 0patch, Mitja Kolsek
Afecta a las versiones de PsExec lanzadas durante los últimos 14 años
El investigador de malware de Tenable, David Wells, descubrió la vulnerabilidad y la reveló públicamente el 9 de diciembre de 2020. Esto después de 90 días de que Microsoft fue informado y no pudo corregir la vulnerabilidad.
“Esta escalada de privilegios local permite que un proceso que no es de administración escale a SYSTEM. Esto si PsExec se ejecuta local o remotamente en la máquina de destino”, explica Wells
Mientras investigaba la vulnerabilidad y creaba una prueba de concepto, Wells pudo confirmar que afecta a múltiples versiones de Windows. Afecta desde Windows XP hasta Windows 10.
También descubrió que afecta a varias versiones de PsExec, comenzando con la v1.72 lanzada en 2006 y terminando con PsExec v2.2. Esta fue la última versión lanzada hace casi cuatro años. Esto significa que el día cero afecta a todas las versiones de PsExec lanzadas durante los últimos 14 años.
