Nov 25, 2021 Marco Schiaffino Attacchi, In evidenza, News, RSS, Vulnerabilità 0

La falla di sicurezza consente di ottenere i privilegi di amministratore sul sistema Microsoft. Il problema era stato corretto (male) a inizio novembre.

Non tutte le ciambelle escono col buco e, a quanto pare, la regola vale anche per le patch. Il caso della nuova vulnerabilità zero-day che interessa Windows 10, Windows 11 e Windows Server è l’ennesima dimostrazione di come un fix possa andare storto e di come questo “incidente” possa portare alla scoperta di ulteriori problemi.

A segnalare il problema è stato il ricercatore di sicurezza Abdelhamid Naceri, che analizzando la patch distribuita da Microsoft nella tornata di novembre di aggiornamenti per il suo sistema operativo si è accorto che la correzione della vulnerabilità CVE-2021-41379 può essere aggirata.

Non solo: nel corso del suo studio, Naceri ha scoperto un’altra vulnerabilità, battezzata con il nome di InstallerFileTakeOver, che consente di elevare i privilegi dell’utente e avviare l’installazione di un malware.

Rispetto alla falla di sicurezza che stava studiando, attraverso la quale sarebbe stato possibile cancellare dei file specifici su l sistema, il nuovo zero day è quindi decisamente più grave.

Il Proof of Concept (PoC) pubblicato da Naceri è stato verificato anche dai ricercatori di Cisco Talos, che in un report pubblicato su Internet ne confermano la replicabilità, così come il fatto che l’exploit viene già utilizzato dai pirati informatici per attaccare i sistemi Windows.

IL problema riguarderebbe, nel dettaglio, la funzionalità di installazione con privilegi di amministratore, che permetterebbe di aggirare le restrizioni a livello di policy di gruppo che normalmente impediscono operazioni MSI.

A detta dello stesso ricercatore, la complessità della vulnerabilità rende impossibile qualsiasi tipo di intervento (workkaround) che consenta di mitigare il rischio di un attacco e l’unica soluzione, per gli utenti, è quella di aspettare che Microsoft rilasci un aggiornamento.

Dalle parti di Redmond, si sono limitati a dire che “stanno facendo tutto il possibile” per sviluppare e distribuire il fix quanto prima.