Un investigador de seguridad anónimo que se hace llamar SandboxEscaper compartió hoy públicamente un segundo exploit de día cero que se puede usar para eludir una vulnerabilidad de elevación de privilegios recientemente parcheada en el sistema operativo Microsoft Windows.
SandboxEscaper es conocido por lanzar públicamente exploits de día cero para vulnerabilidades de Windows sin parches. El año pasado, el pirata informático reveló más de media docena de vulnerabilidades de día cero en el sistema operativo Windows sin molestarse en informar primero a Microsoft sobre los problemas.
Hace solo dos semanas, el pirata informático reveló cuatro nuevos exploits de Windows, uno de los cuales era un exploit que podía permitir a los atacantes eludir una vulnerabilidad de elevación de privilegios parcheada (CVE-2019-0841) en Windows que existía cuando Windows AppX Deployment Service (AppXSVC) maneja incorrectamente los enlaces duros.
Ahora, el pirata informático afirma haber encontrado una nueva forma de eludir el parche de seguridad de Microsoft para la misma vulnerabilidad, lo que permite que una aplicación maliciosa especialmente diseñada aumente sus privilegios y tome el control completo de la máquina parcheada de Windows.
Apodado ByeBear, como se muestra en la demostración del video, el nuevo exploit abusa del navegador Microsoft Edge para escribir la lista de control de acceso discrecional (DACL) como privilegio del SISTEMA.
«Va a aumentar la prioridad del subproceso para aumentar nuestras probabilidades de ganar la condición de carrera que explota. Si su VM se congela, significa que tiene 1 núcleo o configura su VM para tener múltiples procesadores en lugar de múltiples núcleos… lo que también provocar que se bloquee», explica SandboxEscaper.
«Este error definitivamente no está restringido al borde. Esto también se activará con otros paquetes. Por lo tanto, definitivamente puede encontrar una manera de activar este error en silencio sin que aparezca el borde emergente. O probablemente podría minimizar el borde tan pronto como lo haga». lo inicia y lo cierra tan pronto como se completa el error «.
«Creo que también se activará con solo lanzar Edge una vez, pero a veces es posible que tengas que esperar un poco. No realicé pruebas exhaustivas… encontré este error y rápidamente escribí una PoC, me tomó como 2 horas en total , encontrar LPE es fácil».
Las próximas actualizaciones del martes de parches de Microsoft vencen el 11 de junio, y sería interesante ver si la compañía reconocería cuatro exploits anteriores y el nuevo y lanzaría correcciones de seguridad para abordarlos.
