Lanzamiento del parche no oficial para CVE-2021-24084

ANÁLISIS

El problema reside en la configuración de "Acceso a trabajo o escuela" del Servicio de Gestión de Dispositivos Móviles. La vulnerabilidad, descubierta por el investigador de seguridad Abdelhamid Naceri, puede ser explotada para eludir un parche publicado por Microsoft en febrero para solucionar otro fallo de divulgación de información (CVE-2021-24084) reportado por el mismo experto [2]. Esta vulnerabilidad tiene una puntuación CVSS:3.1 de 5,5 (Media) [3].

Se deben cumplir dos condiciones para que la escalada de privilegios local funcione:

1- La protección del sistema debe estar habilitada en la unidad C, y al menos un punto de restauración creado. El hecho de que la protección del sistema esté activada o desactivada por defecto depende de varios parámetros.  

2- Al menos una cuenta de administrador local debe estar habilitada en el ordenador, o al menos las credenciales de un miembro del grupo "Administradores" almacenadas en caché".

Los servidores Windows no están afectados, ya que la funcionalidad vulnerable no existe en ellos. Aunque existen algunas herramientas de diagnóstico similares en los servidores, se ejecutan bajo la identidad del usuario que las lanza y, por tanto, no pueden ser explotadas.

Windows 10 v1803 y las versiones más antiguas de Windows 10 tampoco parecen estar afectadas. Si bien tienen la funcionalidad 'Acceso a trabajo o escuela', ésta se comporta de manera diferente y no puede ser explotada de esta manera. Windows 7 no tiene la funcionalidad "Acceso trabajo o escuela" en absoluto.

Hasta que Microsoft publique actualizaciones de seguridad para solucionar este problema de seguridad (probablemente durante el martes de parches del mes que viene), el servicio de micropatching 0patch ha publicado parches gratuitos y no oficiales para todas las versiones de Windows 10 afectadas (Windows 10 21H2 también está afectado pero aún no está soportado por 0patch):

- Windows 10 v21H1 (32 y 64 bits) actualizado con las actualizaciones de noviembre de 2021
- Windows 10 v20H2 (32 y 64 bits) actualizado con las actualizaciones de noviembre de 2021
- Windows 10 v2004 (32 y 64 bits) actualizado con las actualizaciones de noviembre de 2021
- Windows 10 v1909 (32 y 64 bits) actualizado con las actualizaciones de noviembre de 2021
- Windows 10 v1903 (32 y 64 bits) actualizado con las actualizaciones de noviembre de 2021
- Windows 10 v1809 (32 y 64 bits) actualizado con las actualizaciones de mayo de 2021

RECOMENDACIONES

Recomendamos contemplar la aplicación del parche provista por 0-patch o, en su defecto, esperar a la actualización oficial de MS.

REFERENCIAS
[1] New Windows 10 zero-day gives admin rights, gets unofficial patch (bleepingcomputer.com) 
[2] NVD - CVE-2021-24084 (nist.gov)
[3] 0patch releases unofficial patches for CVE-2021-24084 Windows 10 zero-daySecurity Affairs