Windows10および11の回避策HiveNightmareWindowsの権限昇格の脆弱性
今週初め、セキュリティ研究者は、MicrosoftのWindowsオペレーティングシステムの最近のバージョンに脆弱性を発見しました。これにより、攻撃者は悪用に成功した場合にシステム権限でコードを実行できます。
Security Accounts Manager(SAM)データベースを含む一部のシステムファイルの過度に許容的なアクセス制御リスト(ACL)が問題の原因です。
CERTに関する記事に追加情報が記載されています。それによると、BUILTIN / Usersグループには、%windir% system32 config内のファイルに対するRX権限(読み取り実行)が付与されます。
システムドライブでボリュームシャドウコピー(VSS)が利用可能な場合、特権のないユーザーは、プログラムの実行、データの削除、新しいアカウントの作成、アカウントのパスワードハッシュの抽出、DPAPIコンピューターキーの取得などの攻撃に対する脆弱性を悪用する可能性があります。
によると CERT 、VSSシャドウコピーは、Windows UpdateまたはMSIファイルがインストールされると、128ギガバイト以上のストレージスペースを持つシステムドライブに自動的に作成されます。
管理者は実行できます vssadminリストシャドウ 昇格したコマンドプロンプトから、シャドウコピーが利用可能かどうかを確認します。
マイクロソフトは、 CVE-2021-36934 は、脆弱性の重大度を2番目に高い重大度として評価し、Windows 10バージョン1809、1909、2004、20H2および21H1、Windows 11、およびWindowsServerのインストールが脆弱性の影響を受けることを確認しました。
システムがHiveNightmareの影響を受ける可能性があるかどうかをテストします
- キーボードショートカットのWindows-Xを使用して、マシンに「シークレット」メニューを表示します。
- Windows PowerShell(管理者)を選択します。
- 次のコマンドを実行します:if((get-acl C: windows system32 config sam).Access |?IdentityReference -match'BUILTIN \ Users '| select -expandproperty filesystemrights | select-string'Read'){write -host'SAM may VULN '} else {write-host'SAM NOT vuln'}
「SammaybeVULN」が返された場合、システムは脆弱性の影響を受けます(Twitterユーザー経由) ドレイアガ )。
システムが潜在的な攻撃に対して脆弱であるかどうかを確認するための2番目のオプションは次のとおりです。
- [開始]を選択します。
- cmdと入力します
- [コマンドプロンプト]を選択します。
- icacls%windir% system32 config samを実行します
脆弱なシステムでは、出力にBUILTIN Users:(I)(RX)という行が含まれています。脆弱性のないシステムは、「アクセスが拒否されました」というメッセージを表示します。
HiveNightmareセキュリティ問題の回避策
Microsoftは、潜在的なエクスプロイトからデバイスを保護するための回避策をWebサイトに公開しました。
ノート :シャドウコピーを削除すると、操作にシャドウコピーを使用するアプリケーションに予期しない影響が及ぶ可能性があります。
管理者は、Microsoftによると、%windir% system32 config内のファイルのACL継承を有効にすることができます。
- [開始]を選択します
- cmdと入力します。
- [管理者として実行]を選択します。
- UACプロンプトを確認します。
- icacls%windir% system32 config *。* / inheritance:eを実行します
- vssadmin削除シャドウ/ for = c:/ Quiet
- vssadminリストシャドウ
コマンド5は、ACLの継承を有効にします。コマンド6は、存在するシャドウコピーを削除し、コマンド7は、すべてのシャドウコピーが削除されたことを確認します。
では、あなた :システムは影響を受けますか?