Windows, falla zero-day su PsExec risolta: come installare la micropatch

Sulla piattaforma 0patch stata rilasciata una micropatch gratuita che risolve una vulnerabilit 0-day di Windows che consente una escalation dei privilegi locali (LPE) sfruttando lo strumento di gestione PsExec. Quest’ultimo pu essere utilizzato in sostituzione di telnet, interattivo e consente agli amministratori di sistema di eseguire programmi su computer remoti. PsExec integrato inoltre in diversi tool enterprise per avviare in remoto eseguibili su altri computer.

Attraverso la vulnerabilit un aggressore con accesso al sistema pu forzare con PsExec l’esecuzione di una named pipe creata con finalit malevole, dando alla stessa l’accesso ai permessi Local System. Dopo aver eseguito l’exploit, l’aggressore pu eseguire processi arbitrari con i permessi pi elevati, e prendere pieno possesso del sistema. Come spiegato da David Wells, che ha scoperto la falla e l’ha diffusa pubblicamente il 9 Dicembre 2020, l’attacco LPE “consente a un processo non-admin di ottenere i privilegi di sistema se PsExec viene eseguito localmente o da remoto sul sistema target”. La falla stata divulgata dopo 90 giorni dal primo report inviato a Microsoft, con l’azienda che non ha ancora rilasciato una patch per il bug.

Dopo aver sviluppato un proof-of-concept, inoltre, Wells ha dimostrato che la falla coinvolge diverse versioni di Windows, partendo da XP fino ad arrivare al pi recente Windows 10. L’exploit inoltre praticabile su diverse versioni di PsExec, partendo dalla 1.72 che stata rilasciata nel 2006, fino alla 2.2. Nonostante il silenzio di Microsoft, per, la micropatch rilasciata sulla piattaforma 0patch protegge interamente dall’exploit (come dimostrato nel video che trovate nella pagina). La patch si applica sull’ultima versione di PsExec disponibile, sia nella variante a 64-bit sia in quella a 32-bit. Non richiede un riavvio e nel prossimo futuro potrebbero essere rilasciate nuove versioni per risolvere il problema anche sulle release meno recenti del tool.

Mitja Kolsek, co-fondatore di 0patch, ha ulteriormente spiegato che:

“Questa vulnerabilit consente a un utente malintenzionato che pu gi eseguire codice sul computer remoto come non-admin (ad esempio, accedendo come un normale utente di Terminal Server, o stabilendo una sessione RDP come utente di dominio, o entrando in un servizio vulnerabile senza privilegi in esecuzione sul computer remoto) di elevare i propri privilegi a Local System e assumere completamente il controllo della macchina non appena qualcuno utilizza PsExec su quella macchina”.

Si tratta di una minaccia di bassa priorit su sistemi domestici o di piccole aziende, tuttavia per i sistemi di grosse realt aziendali la vulnerabilit potrebbe essere una minaccia ad alta priorit”.