Изследователи в областта на сигурността разкриха нова атака, наречена „Plug and Pwn“, която злоупотребява с функцията „Plug and Play“ на Windows, за да накара системата да инсталира уязвим или незащитен софтуер и да придобие привилегии на ниво SYSTEM.
Чрез използване на софтуер за емулиране на USB устройства изследователите установиха, че могат да принудят Windows да инсталира подписани пакети от производители, съдържащи компоненти, които могат да бъдат експлоатирани, или слабости, които могат да бъдат използвани за придобиване на системни привилегии. Специалистите използваха начина, по който Windows автоматично разпознава новосвързан хардуер, намира подходящи пакети с драйвери и инсталира софтуера на легитимни производители под акаунта NT AUTHORITYSYSTEM.
В една от атаките авторите обединиха уязвимости в софтуера на Sierra Wireless и Sony FeliCa. Компонентът на Sierra позволяваше промяна на системния DNS сървър, след което инсталаторът на Sony изтегляше конфигурацията чрез некриптирана HTTP връзка. Манипулациите с адресите позволяваха записването на контролирана DLL библиотека в директорията System32, а повторното имитиране на устройството Sierra караше системата да изтегли файл с права SYSTEM. Поотделно откритите уязвимости оказваха сравнително слабо влияние върху системата, но заедно доведоха до пълно повишаване на привилегиите.
Plug and Pwn се оказа опасна не само при физически достъп до компютъра. Авторите разработиха и вариант NoPlug and Pwn, който използва пренасочване на USB чрез протокола за отдалечен работен плот. Клиентът предава на сървъра описание на свързаното оборудване, а сървърът създава устройство въз основа на това описание. Специалистите са се научили да създават такова описание самостоятелно, поради което реално USB-устройство от страна на клиента изобщо не е необходимо. Атаката е приложима в среди, където администраторите са разрешили съответното пренасочване на устройства.
За да демонстрират отдалечена атака, специалистите имитираха камера Intel RealSense. Обикновен потребител се свързваше чрез отдалечен работен плот и предаваше на сървъра информация за несъществуващо устройство. Windows намираше подписан от Microsoft драйвер в Центъра за актуализации на Windows и го инсталираше. Допълнителен компонент стартираше програма от достъпния за потребителя каталог с права SYSTEM, а особеностите на търсенето на библиотеки позволяваха да се подстави собствена DLL и да се повишат привилегиите.
Авторите провериха и други пакети, които Windows може да инсталира автоматично. В софтуера на Wacom беше открит служебен механизъм, способен да стартира командния ред с права на SYSTEM при определена стойност в системния регистър. Обикновеният потребител не може самостоятелно да запише такава стойност, но стар компонент на Atheros, свързан с уязвимост от 2019 година позволява промяна на защитените секции в системния регистър.
Авторите публикуваха изходния код на своите инструменти и демонстрационни материали, позволяващи да се проверят описаните от тях механизми.