PrintNightmare elää edelleen Ransomware-hyökkääjien ansiosta
JARIRIYAWAT / Shutterstock.com
Huolimatta Microsoftin lukuisista yrityksistä korjata PrintNightmare onnistuneesti, se ei ole vieläkään ohi. Nyt on paljastettu toinen Windows 10 PrintNightmare Print Spooler -haavoittuvuus, ja se houkuttelee kiristysohjelmien hyökkääjiä, jotka etsivät helppoa pääsyä järjestelmäoikeuksiin.
Microsoft julkaisi useita korjaustiedostoja heinä- ja elokuun aikana haavoittuvuuden korjaamiseksi ja sääti prosessia, jolla käyttäjät voivat asentaa uusia tulostinajureita. Tutkijat löysivät kuitenkin kiertotavan hyökkäyksen käynnistämiseksi uudemmalla Print Spooler -haavoittuvuudella, nimeltään CVE-2021-36958.
Microsoft kuvailee haavoittuvuutta Microsoft Security Response Centerin viestissä: "Koodin etäsuorittamisen haavoittuvuus on olemassa, kun Windowsin tulostuksen taustatulostuspalvelu suorittaa virheellisesti suojattuja tiedostotoimintoja. Tätä haavoittuvuutta onnistuneesti hyödyntänyt hyökkääjä voi suorittaa mielivaltaisen koodin JÄRJESTELMÄ-oikeuksilla. Hyökkääjä voi sitten asentaa ohjelmia; tarkastella, muuttaa tai poistaa tietoja; tai luo uusia tilejä kaikilla käyttöoikeuksilla."
Microsoft listaa myös haavoittuvuuden kiertotavan "tulostuksen taustatulostuspalvelun pysäyttämiseksi ja poistamiseksi käytöstä". Hyökkääjä tarvitsee järjestelmänvalvojan oikeudet asentaakseen tarvittavat tulostinajurit. Jos ohjain on kuitenkin jo asennettu, tällaisia oikeuksia ei tarvita tulostimen liittämiseen. Lisäksi asiakkaiden ohjaimia ei tarvitse asentaa, joten haavoittuvuus pysyy haavoittuvaisena kaikissa tapauksissa, joissa käyttäjä muodostaa yhteyden etätulostimeen.
Bleeping Computerin mukaan kiristyshaittaohjelmien hyökkääjät käyttävät luonnollisesti täyden hyödyn hyväksikäytöistä. CrowdStrike raportoi äskettäin lunnasohjelmaryhmän Magniberin, jonka se yritti hyödyntää korjaamattomia haavoittuvuuksia eteläkorealaisia uhreja vastaan.
Ei ole vielä tietoa – Microsoftilta tai muualta – siitä, onko PrintNightmare-haavoittuvuus ollenkaan käsissä. Itse asiassa CrowdStrike arvioi, "että PrintNightmaren haavoittuvuus yhdistettynä kiristysohjelmien käyttöönottoon tulee todennäköisesti jatkossakin muiden uhkatoimijoiden hyväkseen".
Windows Centralin kautta