Дослідник Йонас Ліккегор (Jonas Lykkegaard), що працює в сфері інформаційної безпеки, виявив уразливість в операційній системі Windows, експлуатація якої дозволяє користувачеві з низьким рівнем прав отримати права адміністратора на локальному комп’ютері. Згідно з наявними даними, проблема зачіпає Windows 10 і Windows 11.
В ході дослідження було встановлено, що навіть не маючи прав адміністратора користувач Windows може отримати доступ до конфіденційних файлів бази даних реєстру, щоб самостійно підвищити рівень привілеїв в системі. Реєстр Windows працює як своєрідний репозиторій конфігурацій для операційної системи і містить в собі хешовані паролі, призначені для користувача налаштування, параметри конфігурації для додатків, ключі дешифрування і багато іншого.
В цей же час файли бази даних, пов’язані з реєстром, зберігаються в папці C:\Windows\system32\config. Мова йде про файли SYSTEM, SECURITY, SAM, DEFAULT і SOFTWARE. Оскільки в цих файлах міститься конфіденційна інформація, що стосується всіх облікових записів користувачів пристрою і токенів безпеки, які використовуються функціями Windows, користувачам зі звичайним рівнем прав слід заборонити їх перегляд. Особливо це стосується файлу диспетчера облікових записів безпеки (SAM), оскільки в ньому зберігаються хешовані паролі всіх користувачів системи.
В ході дослідження Ліккегор виявив, що файли реєстру Windows 10 і Windows 11, пов’язані з SAM, а також інші бази даних реєстру, доступні користувачам пристрою з низьким рівнем привілеїв. Це означає, що зловмисник навіть без прав адміністратора може отримати хешовані паролі NTLM для всіх облікових записів на пристрої і використовувати їх в атаках з передачею хешу для підвищення привілеїв. Незважаючи на те, що файли на зразок SAM завжди використовуються системою і при спробі отримати доступ до них буде видана відмова, система створює їх приховані копії, які і використовуються зловмисником при атаці такого типу.
Згідно з наявними даними, користувачі зі звичайним рівнем прав вперше отримали можливість доступу до згаданих раніше файлів в Windows 10 (1809). Microsoft підтвердила наявність проблеми, а сама вразливість відстежується під ідентифікатором CVE-2021-36934. Розробники також запропонували тимчасовий варіант зміни налаштувань доступу, який дозволить уникнути потенційних неприємностей, пов’язаних з даною вразливістю. «Ми розслідуємо ситуацію і при необхідності вживемо відповідних заходів для захисту клієнтів» , – прокоментував дане питання представник Microsoft. Джерело