Старая-новая уязвимость CVE-2021-36934 в новом формате
CVE-2021–36934
На прошлой неделе появились новости про новую хайповую уязвимость в Windows 10 и 11 — CVE-2021–36934 под названием SeriousSAM или HiveNightmare. И вчера Бенжамен Дельпи (Benjamin Delpy) автоматизировал ее эксплуатацию.
В Windows имеются важные файлы с хэшированными паролями все учетных записей ОС, данные о ключах шифрования и прочие важные сведения. Все это хранится в SAM, SECURITY и SYSTEM:
C:\Windows\System32\config\sam
C:\Windows\System32\config\security
C:\Windows\System32\config\system
Суть уязвимости в том, что если выполнить теневое копирование этих файлов любым способом, то Вы сможете сразу же прочесть их, имея стандартные права пользователя. Эта возможность касается некоторых версий Windows 10 и 11. В стандартной ситуации, после выполнения теневого копирования — нельзя прочесть указанные файлы с правами пользователя.
Почему уязвимость называется «повышение привилегий»?
Вы сможете повысить привилегии после получения нужного хэша пароля.
Считается, что если обычно для этого требуется права администратора и в такой же ситуации обычный пользователь может сделать то же самое, то это повышение прав.
Почему про это пишут сейчас, если уже давно можно делать теневые копии и извлекать пароли?
Дело в том, что раньше нужно было куда-либо перенести 3 полученных файла на другую ОС и уже после этого открыть их любым способом: например, через secretsdump.
Итог
Рекомендуется ограничить доступ к содержимому %windir%\system32\config и удалить все точки восстановления системы и теневые тома, которые существовали до вводимого ограничения доступа.
Либо, если есть возможность, то установить последние обновления Windows, которые вышли сегодня.
