Vulnerabilidad en WinPcap permite escalada de privilegios en Windows
Se ha descubierto una vulnerabilidad en WinPcap que podría ser aprovechada por un atacante local para ejecutar código arbitrario con privilegios de sistema. Además existe un exploit público para aprovecharse de esta vulnerabilidad. Por tanto, programas como Snort, tcpdump o WireShark se ven afectados por esta escalada de privilegios, ya que utilizan esa libreria.
WinPcap es la herramienta estándar para acceder a la conexión entre capas de red de entornos Windows. Se trata de un “port” para Windows de la librería ‘libpcap’ y es necesaria para ejecutar programas de tipo “sniffer” que modifican el comportamiento de la interfaz de red para poder actuar en modo promiscuo, entre otras posibilidades.
El fallo se da en el controlador ‘npf.sys’ a la hora de validar los datos manejados en los parámetros Irp pasados a IOCTL 9031 (BIOCGSTATS). Un atacante podría aprovechar esta vulnerabilidad enviando parámetros especialmente manipulados y sobrescribiendo la memoría del núcleo.
Si un usuario local sin privilegios encuentra que el dispositivo ha sido utilizado y no se ha descargado el módulo (despues de haberse ejecutado WireShark por ejemplo, o si está en el inicio del sistema), el atacante podría ejecutar la prueba de concepto publicada y obtener privilegios totales sobre la máquina víctima.
Esta vulnerabilidad afecta a las versiones 3.1 y 4.1 beta de WinPcap sobre sistemas Windows, pero ha sido solventada en la version 4.0.1 de WinPcap.
El fallo se descubrió el 16 de mayo de 2007 por iDefense, pero se publicó el 9 de julio de 2007.
El exploit público podemos verlo aqui.
:: Fuente: Hispasec