Hace unos meses, os informábamos sobre una vulnerabilidad que afectaba ALPC de Windows 10 y que fue desvelada por SandboxEscaper a través de Twitter. Durante el día de hoy, esta misma investigadora, ha revelado una nueva vulnerabilidad zero-day que afecta a Windows y permite la lectura de cualquier archivo.
SandboxEscaper vuelve a difundir una vulnerabilidad a través de Twitter
Está claro que la relación de esta investigadora con Microsoft no es buena, ya que es la tercera vez que difunde una vulnerabilidad a través de la red social Twitter desde el mes de agosto. Además, ha publicado el código PoC en su blog.
De momento no se conocen demasiados datos, pero se sabe que afecta a ReadFile y permitiría a un usuario con pocos privilegios leer cualquier archivo al que se pueda acceder mediante la cuenta del sistema local. Teniendo la posibilidad de copiar cualquier archivo con privilegios de SISTEMA, con el destino legible en todo momento.
A continuación, podéis ver un vídeo de la demostración que SandboxEscaper ha publicado.
La propia investigadora comenta que la manera más fácil de confirmar el error es hacer dos cuentas locales y leer el desktop.ini de la otra cuenta. La validez del PoC ha sido confirmada hoy por Mitja Kolsek, CEO de Acros Security y fundador de la plataforma 0Patch.
We have confirmed this POC to work and in fact provide read access to a chosen file that the initiating user didn't have read access to. https://t.co/GSP1YLo43U
— 0patch (@0patch) December 20, 2018
SandboxEscaper acusa a Microsoft de haber cerrado su cuenta de Github
Esta es la tercera vulnerabilidad Zero-Day que SandboxEscaper revela publicamente sin informar a Microsoft sobre ella. Desde la publicación del primer 0day en Windows, SandboxEscaper perdió el acceso a su cuenta de GitHub, donde publicó los detalles de los errores y el código de prueba de concepto. En un mensaje en su blog, la investigadora culpa a Microsoft directamente.
Suponemos que los chicos de Redmond ya estarán al tanto de esta vulnerabilidad y la corregirán en el Patch Tuesday de enero.
Encima que las encuentra … Nu se yo :v