स्टीम विंडोज क्लाइंट स्थानीय विशेषाधिकार वृद्धि 0day

मैं कई वर्षों से कमजोरियों की तलाश कर रहा था, और ऐसा लगता है कि मैंने बहुत कुछ देखा है, लेकिन काम का एक हिस्सा ऐसा है जिसकी मुझे आदत नहीं है और जिसे मैं नहीं समझ सकता। यह कमजोरियों और समस्याओं के बारे में जानकारी स्वीकार करने के लिए विक्रेताओं की पूर्ण अनिच्छा है। मैं समझता हूं कि यह बहुत अप्रिय है जब वे सीधे आपको दिखाते हैं कि आपने गलती की है, और सबसे अधिक संभावना है, एक नहीं। खुले स्रोतों में सार्वजनिक रूप से यह पुष्टि करना अप्रिय है कि समस्याएं थीं, कि कर्मचारियों ने काम नहीं किया। लेकिन मुझे समझ में नहीं आता है कि भेद्यता सूचना को अस्वीकार करने की आवश्यकता क्यों है।


तो, हमारी कहानी का हीरो वाल्व स्टीम सॉफ्टवेयर है। और इसमें विशेषाधिकार वृद्धि भेद्यता है, जो किसी भी उपयोगकर्ता को NT AUTHORITY \ SYSTEM की ओर से कमांड निष्पादित करने की अनुमति देता है।

भेद्यता

भेद्यता अपने आप में काफी सरल है। स्टीम अपने काम के लिए "स्टीम क्लाइंट सर्विस" सेवा स्थापित करता है। SDDL सेवा विवरणक पर एक नज़र डालें:

O:SYG:SYD:(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;RPWP;;;BU)

यहाँ हम भाग (ए; आरपीडब्ल्यूपी ;; बीयू) में रुचि रखते हैं। इस स्थिति में, इस प्रविष्टि का अर्थ है कि उपयोगकर्ता समूह का कोई भी उपयोगकर्ता सेवा को प्रारंभ और रोक सकता है।
आइए देखें कि स्टार्टअप में सेवा क्या करती है। बहुत दिलचस्प नहीं है, लेकिन कुछ ऐसे ऑपरेशन हैं जो असामान्य दिखते हैं - सेवा HKLM \ SOFTWARE \ Wow6432Node \ Valve \ Steam \ Apps अनुभाग की सामग्री को सूचीबद्ध करती है और सभी उप-वर्गों के लिए कुछ अधिकार निर्धारित करती है।



मुझे आश्चर्य है कि किस तरह के अधिकारों का प्रदर्शन किया जाता है? हम एक परीक्षण कुंजी बनाते हैं, सेवा शुरू करते हैं (ऊपर लॉग इन करें) और देखें कि क्या सही है। यहां यह भी पता चला है कि HKLM \ SOFTWARE \ Wow6432Node \ Valve \ Steam खंड में उन सभी उपयोगकर्ताओं के लिए पूर्ण एक्सेस अधिकार हैं जो सभी उपकुंजियों को विरासत में मिले हैं। एक परिकल्पना का जन्म होता है कि RegSetKeySecurity के लिए कॉल के माध्यम से HKLM \ SOFTWARE \ Wow6432Node \ Valve \ Steam \ Apps के सभी उपखंडों के लिए समान अधिकार निर्धारित किए जाएंगे । लेकिन क्या होगा अगर रजिस्ट्री में एक सिमलिंक है और शाखा HKLM \ SOFTWARE \ Wow6432Node \ Valve \ Steam \ Apps \ test , उदाहरण के लिए, HKLM \ SOFTWARE \ test2 को इंगित करेगा?

हम जाँचते हैं और देखते हैं कि लक्ष्य रजिस्ट्री शाखा के लिए सिमलिंक के मामले में अधिकार पंजीकृत हैं।



हम लक्ष्य शाखा के अधिकारों की जाँच करते हैं और SDDL फॉर्म (निर्बाध लंघन) में देखते हैं:

(A;ID;KA;;;BU)(A;OICIIOID;GA;;;BU)

मौखिक रूप में, इसका मतलब है कि सभी उपयोगकर्ताओं के लिए पूर्ण (पढ़ना और लिखना) पहुंच। ये शाखा को निर्धारित स्टीम सेवा के अधिकार हैं।

अब जबकि आदिम लगभग किसी भी रजिस्ट्री शाखा पर नियंत्रण पाने के लिए तैयार हो गया है, PoC को रोल करना आसान है। मैंने HKLM \ SYSTEM \ ControlSet001 \ Services \ msiserver शाखा को चुना - यह "विंडोज इंस्टालर" सेवा से मेल खाती है, जिसे उपयोगकर्ता द्वारा भी शुरू किया जा सकता है, लेकिन यह सेवा NT AUTHORITY \ SYSTEM विशेषाधिकारों के साथ काम करेगी। HKLM \ SYSTEM \ ControlSet001 \ Services \ msiserver शाखा पर नियंत्रण प्राप्त करने के बाद , हम ImagePath कुंजी में निष्पादन योग्य के लिए रास्ता बदलते हैं और msiserver सेवा शुरू करते हैं। हमारी निष्पादन योग्य फ़ाइल उच्चतम संभव अनुमतियों के साथ लॉन्च की गई है - NT AUTHORITY \ SYSTEM।

हम सब कुछ इकट्ठा करते हैं जो कोड में ऊपर लिखा गया है और किसी भी विंडोज कंप्यूटर पर एक साधारण विशेषाधिकार वृद्धि प्राप्त करता है जहां स्टीम स्थापित किया गया है।

भेद्यता रिपोर्ट

मैंने हैकरोन के माध्यम से वाल्व को भेद्यता रिपोर्ट भेजी।

यहां पहला आश्चर्य मेरा इंतजार कर रहा था - वाल्व को सीधे भेद्यता स्थानांतरित करने से पहले, मुझे पहले हैकरोन स्टाफ को विश्वास दिलाना था कि मेरे पास वास्तव में भेद्यता रिपोर्ट है, क्योंकि वाल्व ने "प्रबंधित द्वारा हैकरऑन" फ़ंक्शन का उपयोग किया था। मुझे कोई आपत्ति नहीं है - मेरे पास PoC है, जो NT AUTHORITY \ SYSTEM की ओर से कंसोल को कॉल करता है - चेहरे पर साक्ष्य। और मुझे रिपोर्ट में इनकार मिला है। कारण इंगित करता है कि मेरी रिपोर्ट अनुसंधान के दायरे से बाहर है, क्योंकि "अटैक जो उपयोगकर्ता के सिस्टम पर मनमाने स्थानों में फ़ाइलों को छोड़ने की क्षमता की आवश्यकता होती है।" (एक हमले में मनमाने ढंग से फ़ाइल सिस्टम पथों में फ़ाइलों का पता लगाने की क्षमता की आवश्यकता होती है)। मेरी प्रतिक्रिया: "मेरे पास एक भी फ़ाइल सिस्टम ऑपरेशन नहीं है, लेकिन उस कारण के लिए एक विफलता, वास्तव में?"

मैं इस बारे में एक टिप्पणी लिख रहा हूं और एक अन्य कर्मचारी आता है, जो फिर भी भेद्यता की जांच करने का काम करता है। इसकी पुष्टि करता है और वाल्व गुजरता है। हुर्रे, लक्ष्य हासिल किया है। या नहीं ...?

समय बीत जाता है और रिपोर्ट फिर से लागू नहीं होती है। कारण: "हमलों में उपयोगकर्ता के फाइल सिस्टम पर मनमाने स्थानों में फ़ाइलों को छोड़ने की क्षमता की आवश्यकता होती है" और "उन हमलों को उपयोगकर्ता की डिवाइस तक भौतिक पहुंच की आवश्यकता होती है" (हमले के लिए उपयोगकर्ता के डिवाइस तक भौतिक पहुंच की आवश्यकता होती है)। तब मुझे एहसास हुआ कि विशेषाधिकार वृद्धि हमले केवल वाल्व के लिए दिलचस्प नहीं थे।


रिपोर्ट के 45 दिन बीत जाने के बाद, मैंने सार्वजनिक रूप से भेद्यता के विवरण का खुलासा करने का फैसला किया, हालांकि मुझे यकीन नहीं है कि यह स्टीम डेवलपर्स को बदलाव करने के लिए प्रोत्साहित करेगा।

छोटे आंकड़े: विंडोज 8 x64, विंडोज 8.1 x64 और विंडोज 10 x64 पर भेद्यता का परीक्षण किया गया था। मुझे स्टीम सॉफ़्टवेयर संस्करण नंबरिंग की विशेषताएं पता नहीं हैं, इसलिए मैं सेवा घटकों के संस्करण को ठीक करूंगा:

• SteamService.dll (5.16.86.11, वाल्व 06/14/2019 द्वारा हस्ताक्षरित)
• SteamService.exe (5.16.86.11, वाल्व 06/14/2019 द्वारा हस्ताक्षरित)

समय:

15 जून - भेद्यता रिपोर्ट भेजी गई।
16 जून - रिजेक्टेड, "अटैक्स जो उपयोगकर्ता के फाइल सिस्टम पर मनमाने स्थानों में फ़ाइलों को छोड़ने की क्षमता की आवश्यकता है।"
16 जून - टिप्पणी के साथ फिर से खोजा गया।
2 जुलाई - हैकरऑन कर्मचारी द्वारा पुष्टि की गई, वाल्व को हस्तांतरित।
20 जुलाई - अस्वीकार कर दिया, "उपयोगकर्ता के फाइल सिस्टम पर मनमाने स्थानों में फ़ाइलों को छोड़ने की क्षमता की आवश्यकता होती है।", "उन हमलों को जो उपयोगकर्ता के डिवाइस तक भौतिक पहुंच की आवश्यकता होती है।"
7 अगस्त - यह लेख प्रकाशित हुआ था।

थोड़ी अटकलें

मैं बहुत निराश हूं। एक गंभीर कंपनी जो बहुत ही तीखे शब्द लिखती है कि सुरक्षा महत्वपूर्ण है, आपके कंप्यूटर को आपके द्वारा चलाए जाने वाले किसी भी कार्यक्रम के लिए अधिकतम पहुँच के लिए खोलती है।

यह पता लगाने के लिए विडंबना है कि एक लांचर, जो वास्तव में आपके कंप्यूटर पर तृतीय-पक्ष प्रोग्राम चलाने के लिए डिज़ाइन किया गया है, उन्हें चुपचाप अधिकतम विशेषाधिकार प्राप्त करने की अनुमति देता है। क्या आप सुनिश्चित हैं कि एक अज्ञात डेवलपर द्वारा घुटने पर बनाया गया एक मुफ्त गेम ईमानदारी से व्यवहार करेगा? विश्वास कीजिए कि 90% छूट के लिए आपको एक छिपा हुआ खनिक नहीं मिलेगा? बेशक, प्रशासक अधिकारों के बिना काम करते समय कुछ खतरे बने रहेंगे, लेकिन दुर्भावनापूर्ण कार्यक्रमों के उच्च अधिकार तंत्रिकाओं को काफी खराब कर सकते हैं - एंटीवायरस को अक्षम करना, सिस्टम स्टार्टअप्स के लिए इसे ठीक करना, लगभग किसी भी फाइल को बदलना, किसी भी उपयोगकर्ता।

स्टीम की लोकप्रियता के कारण, संभावित पीड़ितों की संख्या बहुत बड़ी है। 2015 में, सक्रिय स्टीम खातों की संख्या 125 मिलियन अनुमानित की गई थी। हां, सभी स्टीम उपयोगकर्ताओं के पास विंडोज़ ओएस नहीं है, लेकिन उनमें से अधिकांश के पास कुछ हैं, और कुछ उपयोगकर्ताओं के एक ही मशीन पर कई "लाइव" खाते हैं। लेकिन समस्या की भयावहता अभी भी प्रभावशाली है।
या शायद यह सब उद्देश्य पर छोड़ दिया गया है? हो सकता है कि स्टीम एक प्रकार का कानूनी काम है? इसे वास्तव में स्थापित करना असंभव है, लेकिन आइए तथ्यों की तुलना करें:

1. एक भेद्यता है जो शोषण करना आसान है (और, ट्विटर पर संदेशों को देखते हुए, एक नहीं)।
2. यह स्पॉट करना बहुत आसान है - मुझे यकीन नहीं है कि मैं इसे खोजने वाला पहला व्यक्ति था, लेकिन कम से कम पहले मैंने इसे सार्वजनिक रूप से वर्णित किया था।
3. इस तरह की कमजोरियों और समान लोगों पर एक रिपोर्ट स्वीकार करने की अनिच्छा (गुंजाइश विशेष रूप से चुनी जाती है ताकि विशेषाधिकार वृद्धि इससे बाहर हो जाए)।

मुझे यह सब पसंद नहीं है। मैं आपसे स्टीम को हटाने का आग्रह नहीं करूंगा, लेकिन मैं इसके साथ बहुत सावधान रहने का प्रस्ताव करता हूं। आपकी सुरक्षा दांव पर है।

बोनस

तथ्य यह है कि इस लेख को तैयार करने की प्रक्रिया में एक दिलचस्प घटना हुई, जिसके संबंध में मैंने समयरेखा को पूरक करने का निर्णय लिया।

20 जुलाई - रिपोर्ट को खारिज करने के बाद, मैंने एच 1 को चेतावनी दी कि मैं 30 जुलाई के बाद सार्वजनिक रूप से भेद्यता के विवरण का खुलासा करूंगा।
2 अगस्त - एक अन्य एच 1 कर्मचारी को एक बंद रिपोर्ट में सूचित किया गया है और कहते हैं कि वे मुझे खुलासा करने की अनुमति नहीं देते हैं।

यह लेख 30 जुलाई तक प्रकाशन के लिए तैयार किया गया था (रिपोर्ट भेजने के 45 दिन बाद यह दर चुनी गई थी), लेकिन इसमें देरी हुई। और इसलिए, 20 जुलाई को मेरे संदेश से दो सप्ताह बाद, एक व्यक्ति प्रकट होता है जो मुझसे कहता है: "हम भेद्यता का खुलासा करने की अनुमति नहीं देते हैं"। वास्तव में, यह पता चला है: हमने आपकी रिपोर्ट को अनुपयुक्त के रूप में चिह्नित किया, हमने चर्चा को बंद कर दिया, हमने आपको कुछ भी समझाने के लिए आवश्यक नहीं माना, और हम नहीं चाहते कि आप इसे प्रकाशित करें। वाल्व से एक भी शब्द नहीं है। नहीं दोस्तों, यह काम नहीं करेगा। आपने मेरे काम का सम्मान नहीं किया, मैं आपका सम्मान नहीं करूंगा - मुझे लगता है कि इस रिपोर्ट को हर किसी के लिए प्रकाशित नहीं करने का कोई कारण नहीं है। सबसे अधिक संभावना है कि मुझे इस वजह से h1 पर प्रतिबंध लगा दिया जाएगा, लेकिन मैं परेशान नहीं होगा।

युपीडी। यह कल (6 अगस्त) स्टीम अपडेट जारी किया गया था। नहीं, इसने कुछ भी ठीक नहीं किया।
फ़ाइल संस्करण: 5.27.59.20 हस्ताक्षर दिनांक 08/08/2019।

खुलासे के बाद

हम समयसीमा को अपडेट करना जारी रखते हैं:

7 अगस्त (प्रकाशन के बाद) - एच 1 पर रिपोर्ट को फिर से खोजा गया। मुझे एक पत्र मिला, जिसका सार संक्षेप में फिट करना मुश्किल है, लेकिन सबसे महत्वपूर्ण बात यह थी कि कुछ ठोस तर्क इस निष्कर्ष पर लाने की आवश्यकता है कि भेद्यता के परिणाम महत्वपूर्ण हैं। "वाल्व कुछ ठीक करने वाला नहीं है जो उन्होंने एन / ए होने का निर्धारण किया है" इन शब्दों ने एक बार फिर मेरे दृढ़ विश्वास की पुष्टि की कि मैं सही हूं कि मैंने विवरणों का सार्वजनिक खुलासा किया।

7 अगस्त - मैट नेल्सन लिखते हैं कि उन्होंने जिस भेद्यता की रिपोर्ट की है वह बिल्कुल मेरी जैसी ही है। जो इसे खोजने में आसानी के बारे में मेरी थीसिस की पुष्टि करता है। वह अपना पीओसी खोलता है।


9 अगस्त - स्टीम बीटा को एक अपडेट प्राप्त होता है जहां एक पंक्ति "विंडोज़ रजिस्ट्री में प्रतीकात्मक लिंक का उपयोग करके निश्चित विशेषाधिकार वृद्धि का शोषण है"। संदेह है कि फिक्स को दरकिनार किया जा सकता है, लेकिन अब पॉपकॉर्न पर स्टॉक कर सकते हैं।

13 अगस्त - स्टीम को एक अपडेट प्राप्त होता है जहां एक पंक्ति "विंडोज़ रजिस्ट्री में प्रतीकात्मक लिंक का उपयोग करके विशिष्ट विशेषाधिकार वृद्धि" है। ऐसा लगता है कि सेवा रजिस्ट्री में अधिकारों को उजागर नहीं करती है, इसलिए हम मान सकते हैं कि यह तय है।

15 अगस्त - शोधकर्ता ने दिखाया कि पैच को दरकिनार किया जा सकता है , भेद्यता अभी भी प्रासंगिक है। शॉर्टकट - आप सेवा के पिछले (पैच से पहले) संस्करण को वापस कर सकते हैं।

20 अगस्त - एच 1 पर उनके कार्यक्रम में वाल्व ने मुझे प्रतिबंधित कर दिया। बाकी H1 मेरे लिए उपलब्ध है।

यह लेख अंग्रेजी में।