Для неисправленной уязвимости 0-day в Windows выпущен неофициальный патч

На платформе 0Patch доступно бесплатное неофициальное исправление для уязвимости нулевого дня в установщике Windows, известной как InstallerFileTakeOve и уже эксплуатирующейся в хакерских атаках.

Уязвимость затрагивает все версии Windows, в том числе Windows 11 и Windows Server 2022 и позволяет злоумышленникам с доступом к учетным записям с самыми низкими привилегиями запускать код с привилегиями администратора.

Исследователь безопасности Абдельхамид Насери (Abdelhamid Naceri) обнаружил уязвимость в процессе анализа патча для другой уязвимости повышения привилегий ( CVE-2021-41379 ) и опубликовал для нее Poc-эксплоит.

Насери обнаружил, что патч от Microsoft оказался неполным, и злоумышленники по-прежнему могут запускать код с привилегиями администратора. По его словам , новый вариант уязвимости (идентификатор CVE ей еще не присвоен) «еще мощнее, чем первоначальный вариант».

Как пояснил сооснователь сервиса 0patch для доставки экстренных исправлений, не требующих перезагрузки системы, Митя Колсек (Mitja Kolsek), проблема связана с тем, что установщик Windows создает файл Rollback (.RBF), позволяющий восстанавливать данные, удаленные или модифицированные в процессе установки.

В какой-то момент Windows перемещает RBF-файл из Config.msi во временную папку и модифицирует разрешения, обеспечивая пользователю возможность записывать файлы.

«Абдельхамид обнаружил, что на месте входящего RBF-файла можно создать символическую ссылку, что приведет к перемещению RBF-файла из C:WindowsInstallerConfig.msi в другой выбранный пользователем файл на системе. Поскольку установщик Windows запущен с привилегиями локальной системы, любой файл, доступный для записи для локальной системы, может быть переписан и открыт для записи для других пользователей», - сообщил Колсек.

Микропатч от 0Patch работает на Windows 7 ESU, Windows 10, Server 2008 ESU/2012/2016/2019. Однако нужно понимать, что он является временным решением, призванным обезопасить системы до того, как Microsoft выпустит постоянное исправление.