Chyba ve Windows 10 i 11 umožní jakémukoliv uživateli stát se adminem

Dle serveru BleepingComputer byla nalezena skutečně závažná bezpečnostní chyba ve Windows 10 i nových Windows 11, která umožní uživatelům s místními uživatelskými účty zjistit citlivá data o jiných účtech včetně těch administrátorských. Především jde ale o to, že takto lze i změnit heslo administrátora, což jednoduše uživateli poskytne plná práva k systému. 

 

 

Problém se týká bezpečnostních pravidel v rámci registrů Windows a nástroje Security Account Manager (SAM). Obě tyto části systému mají z nějakého důvodu daná pravidla značně uvolená, což umožní uživateli plný přístup k jejich souborům bez administrátorských práv, čili s jen uživatelskými právy. A právě Security Account Manager spravuje veškerá data lokálních účtů a obsahuje hashovaná hesla stejně jako registry.

 

Bezpečnostní výzkumník Jonas Lykkegaard uvádí, že jde o chybu, která se týká i plně záplatovaného systému s Windows 10 20H2 a rovněž Windows 11, ovšem tento systém ještě není na trhu. 

 

Menší problém je ten, že soubory používané registry a SAM jsou při běhu systému vždy používané a uzamknuté, a tak je nelze otevřít. Jenomže je tu také jejich záloha, která už takto chráněná není. Pak už je možné snadno získat NTLM hashe hesel, které se dají použít k získání vyšších práv v rámci systému. Jedná se o způsob, který ukazuje následující video a pak je tu také tzv. Silver Ticket, útok pomocí vytvoření falešného ověřovacího lístku. 

 

 

Není jasné, proč jsou nastavena pro tak důležité soubory uvolněná pravidla, přičemž analytik Will Dormann tvrdí, že před nástupem verze Windows 10 1809 to bylo jiné a ještě podivnější je, že při instalaci zbrusu nové kopie systému Windows 10 20H2 si už běžní uživatelé daná data nepřečtou, ale v případě systémů jen aktualizovaných na 20H2 to je jinak.

 

Pokud chcete zjistit, zda je váš systém náchylný na zneužití této chyby, stačí do příkazové řádky zadat příkaz "icacls c:\windows\system32\config\sam".  Pokud ten v příslušném řádku vrátí "BUILTIN\Users:(I)(RX)", pak ano, systém je napadnutelný, ale míru nebezpečí si už každý musí vyhodnotit sám. Microsoft už tuto chybu eviduje jako CVE-2021-36934, takže můžeme počítat s brzkou záplatou, která jen upraví práva. 

 

Prozatím můžeme sami otevřít v administrátorském režimu příkazovou řádku a zadat: "icacls %windir%\system32\config\*.* /inheritance:e". Poté je ještě nutné smazat kopie, což ovšem představuje odstranění všech bodů zálohy systému, které byly vytvořeny před zadáním daného příkazu. Pak si ale samozřejmě můžeme hned vytvořit nový.