Recientemente Check Point parcheo una vulnerabilidad descubierta en el software Endpoint Security Client para versiones de Windows que permite a los ciberdelincuentes escalar privilegios para ejecutar código malicioso con privilegios de Sistema.
La falla de seguridad de escalamiento de privilegios rastreada como CVE-2019-8461 hace posible que los atacantes ejecuten cargas maliciosas con privilegios de sistema, así como evadir la detección antimalware, mediante un bypass de la lista blanca de aplicaciones, una técnica comúnmente utilizada para evitar la ejecución de usuarios no identificados o aplicaciones potencialmente maliciosas.
Check Point Endpoint Security es un software que viene con múltiples módulos, como la seguridad de datos y redes, prevención avanzada de amenazas y análisis forense, así como soluciones de software VPN de acceso remoto.
El investigador a cargo descubrió que el problema de seguridad podría usarse para lograr la escalada de privilegios y la persistencia al cargar una DLL maliciosa sin firmar en uno de los servicios de Windows utilizados por el software Check Point Endpoint Security. La vulnerabilidad es inducida por la falta de seguridad en la carga de DLL, causada por el uso de una ruta de búsqueda no controlada y por no validar si el DLL que carga está firmado con un certificado digital.
El investigador descubrió que el servicio Check Point Device Auxiliary Framework, uno de los servicios utilizados por el software que se ejecuta con privilegios de Sistema y que cuenta con un ejecutable firmado por Check Point, que finalmente carga un archivo DLL faltante llamado atl110.dll desde varias carpetas que están definidas en la variable de entorno PATH de Windows.
Uno de los directorios analizados por el servicio fue C:/python27, una carpeta que viene con una lista de control de acceso (ACL) que proporciona permisos de escritura a cualquier usuario autenticado, otorgando privilegios al archivo DLL sin firmar después de haberlo cargado como un usuario normal, dando como resultado final que el código fue ejecutado desde un proceso firmado digitalmente por Check Point como NT AUTHORITY \ SYSTEM.
Como mencionamos al inicio, Check Point corrigió esta vulnerabilidad con el lanzamiento de Endpoint Security Client para Windows en su versión E81.30, el día de ayer, luego del informe de divulgación de vulnerabilidad enviado por quienes llevaron a cabo la investigación.
REFERENCIA
COMENTARIOS