Lokale Windows-gebruikers kunnen het registerbestand bekijken met beheerderswachtwoordhashes

Een kwetsbaarheid in Windows maakt het voor lokale gebruikers mogelijk om een registerbestand met hashes en beveiligingstokens op te vragen bij beheerders. Een onjuist geconfigureerde toegangscontrolelijst geeft gebruikers toegang tot informatie in de Security Account Manager.

De bug kan leiden tot een escalatie van lokale privileges , waarbij aanvallers lokale privileges kunnen verheffen tot beheerdersrechten. De bug werd ontdekt door beveiligingsonderzoeker Jonas Lykkegaard , die naar Windows 11 zat te kijken. Later bleek dat de bug ook in Windows 10 uitgebuit kon worden. De bug was er al jaren, maar was tot nu toe nooit opgemerkt.

De kwetsbaarheid zit in de Security Account Manager. Het slaat hashes van de wachtwoorden van alle gebruikers op een systeem op. Lykkegaard ontdekte dat in Windows 10 en Windows 11 die bestanden in het register toegankelijk zijn met leesrechten voor alle gebruikers op een systeem. Dit wordt in eerste instantie voorkomen, omdat registerbestanden in gebruik zijn door het systeem en dus niet kunnen worden gekopieerd. Als Volume Shadow Copies echter zijn ingeschakeld, kan dit worden omzeild door een aanvaller toe te staan een momentopname van de registerbestanden te maken.

Microsoft heeft de kwetsbaarheid inmiddels erkend. Het bedrijf heeft het geregistreerd als CVE-2021-36934 . De bug kan worden misbruikt op ten minste Windows 10 1809 en nieuwere versies. Vanaf die versie heeft Microsoft de machtigingen voor gebruikers gewijzigd. Er is nog geen patch beschikbaar, maar Microsoft noemt wel een work-around. Beheerders kunnen %windir%\system32\config en bestaande systeemherstel-opslagpunten verwijderen.