alaatk/cve-2024-27674Macro Expert <= 4.9.4 - تصعيد الامتيازات بسبب الأذونات غير الآمنة
Macro Expert <= 4.9.4 - تصعيد الامتيازات عبر أذونات غير آمنة
ثغرة أمنية في الأذونات غير الآمنة في Macro Expert الإصدار 4.9.4 والإصدارات الأقدم تسمح لمهاجم محلي غير مميز بتنفيذ كود عشوائي كـ SYSTEM عبر نص برمجي مُصنّع عن طريق استبدال ملف MacroService.exe الثنائي الموجود ضمن مسار قابل للتحكم.
اسم الخدمة: Macro Expert
صلاحيات المسار: c:\program files (x86)\grasssoft\macro expert
C:\>icacls "C:\Program Files (x86)\GrassSoft\Macro Expert"
C:\Program Files (x86)\GrassSoft\Macro Expert BUILTIN\Users:(OI)(CI)(M)
NT SERVICE\TrustedInstaller:(I)(F)
NT SERVICE\TrustedInstaller:(I)(CI)(IO)(F)
NT AUTHORITY\SYSTEM:(I)(F)
NT AUTHORITY\SYSTEM:(I)(OI)(CI)(IO)(F)
BUILTIN\Administrators:(I)(F)
BUILTIN\Administrators:(I)(OI)(CI)(IO)(F)
BUILTIN\Users:(I)(RX)
BUILTIN\Users:(I)(OI)(CI)(IO)(GR,GE)
CREATOR OWNER:(I)(OI)(CI)(IO)(F)
APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(RX)
APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(OI)(CI)(IO)(GR,GE)
يمكن للمستخدمين غير المميزين، أو العمليات الضارة، أو الجهات التهديدية تعديل الملفات في هذا المسار. وسوف تستدعي خدمة "Macro Expert" التي تعمل ضمن سياق SYSTEM ملف "MacroService.exe" في هذا الدليل. إذا قام مستخدم ضار باستبدال الملف القابل للتنفيذ المسمى "MacroService.exe" داخل هذا الدليل، فستقوم الخدمة بتنفيذ هذه الثنائيات الضارة عن غير قصد عند إعادة التشغيل، مما يؤدي إلى تشغيلها بصلاحيات SYSTEM.
Alaa Kachouh