Razerマウスを接続するだけでWindows 10の管理者権限が奪取する方法が見つかる

MicrosoftのPrintNightmare騒動以降、ハッカーコミュニティは、Windowsにサードパーティ製ドライバーをインストールする際に発生する脆弱性に注目を始めているようです。今回ハッカーのjonhat氏は、Razer社のマウス用無線ドングルを接続するだけで、Windows 10の管理者権限を取得する方法を発見したと報告しています(MSPoweruser)。

Need local admin and have physical access?
- Plug a Razer mouse (or the dongle)
- Windows Update will download and execute RazerInstaller as SYSTEM
- Abuse elevated Explorer to open Powershell with Shift+Right click

Tried contacting @Razer, but no answers. So here's a freebie pic.twitter.com/xDkl87RCmz

— jonhat (@j0nh4t) August 21, 2021

問題は、Windows Updateがシステム権限でRazerInstallerをダウンロードして実行することと、そのインストーラーがユーザーにエクスプローラーウィンドウを開いてドライバーのインストール先を選択する機会を提供することにあるとのことです。Shift+右クリックでシステム権限のあるPowershellウィンドウを開くことができ、ハッカーはなんでもやりたい放題になる模様。

さらに、ユーザーがインストールプロセスを実行した際、保存ディレクトリをデスクトップなどのユーザーが制御可能なパスに設定すると、サービスバイナリがそこに保存されます。永続性を保つためサービスバイナリをハイジャックし、ユーザーがログインする前に実行することができると説明しています。

USB IDは簡単に偽装できるため、攻撃者は本物のRazerマウスを必要としません。

jonhat氏は、Razer社に連絡を取ろうとしたものの、できなかったため、この脆弱性を公開したと述べています。Microsoftが今後Windows Updateからこのドライバーを削除すると予想されますが、保証はありません。