CVE-2025-63945 Tencent iOA EoP

الإصدار : قبل 210.9.28693.62001

الملخص: اكتشفت ثغرة أمنية في Tencent PC Manager حيث يتم التعامل مع الملفات والأدلة تحت C:\Windows\Temp بطريقة غير آمنة. يمكن للمهاجم استغلال هجمات الروابط الرمزية (symlink) لإجبار عملية تعمل بصلاحيات SYSTEM على حذف ملفات عشوائية، مما يؤدي إلى تصعيد الصلاحيات المحلية. على وجه التحديد، يتم تشغيل عملية باسم LegacyKB_ioa_win.exe بشكل دوري عند استخدام مكون "ioa". أثناء التشغيل، تقوم بإنشاء دليل TencentDownload داخل مجلد Temp، وتنزيل الملفات فيه، ثم تقوم بحذفها بصلاحيات SYSTEM. بسبب التحقق غير الكافي من المسار ومنطق الحذف غير الآمن، يمكن إساءة استخدام هذا السلوك لحذف ملفات يختارها المهاجم بصلاحيات SYSTEM.

لوحظ أن العملية "LegacyKB_*.exe" ستفعل ما يلي بصلاحيات SYSTEM:

1. عند توفر إصدار جديد أو تصحيح، يقوم مكون iOA بتنزيل وتشغيل ملف Legacy_*.exe من الإنترنت.

2. يتحقق Legacy_*.exe من وجود دليل TencentDownload تحت C:\Windows\Temp؛ إذا لم يكن موجودًا، يقوم بإنشائه.

3. يقوم Legacy_*.exe بإنشاء دليل فرعي ببادئة تيلدا (مثل ~) داخل TencentDownload.

4. في النهاية، يستخدم Legacy_.exe صلاحيات SYSTEM لحذف الدليل الفرعي ~ داخل TencentDownload.

نظرًا لأن الدليل "C:\Windows\Temp\TencentDownload" يمكن إنشاؤه بواسطة المستخدم الحالي وتعيين صلاحية "تعديل" له، يمكن للمستخدم الحالي تعديل وقراءة الدليل بأكمله. مع هذا الإعداد، يمكن لمستخدم غير مميز تحقيق حذف ملف عشوائي عن طريق إنشاء رابط رمزي إلى موقع مميز (مثل C:\Windows\System32). علاوة على ذلك، يمكن لمستخدم ضار تحقيق تصعيد الصلاحيات المحلية من حذف ملف/مجلد عشوائي.

لتنفيذ LPE عن طريق حذف ملف/مجلد عشوائي، يمكن للمستخدم اتباع الخطوات التالية:

1. يقوم المستخدم بإنشاء المجلد "C:\Windows\Temp\TencentDownload"

2. يقوم المستخدم بتعيين OpLock على المجلد "C:\Windows\Temp\TencentDownload~*" بمجرد ملاحظة إنشاء أي مجلد ببادئة ~

3. ستحاول العملية "Legacy_.exe" إزالة المجلد "C:\Windows\Temp\TencentDownload~" بصلاحيات SYSTEM.

4. سيتم إيقاف العملية "Legacy_*.exe" مؤقتًا بسبب OpLock.

5. عند تفعيل OpLock، يقوم المستخدم بنقل الملف "C:\Windows\Temp\TencentDownload~*" إلى مكان آخر لتفريغ المجلد.

6. يقوم المستخدم بإنشاء junction "C:\Windows\Temp\TencentDownload" إلى "\RPC Control"

7. يقوم المستخدم بإنشاء رابط رمزي "GLOBAL\GLOBALROOT\RPC Control~*" إلى المجلد/الملف الهدف (مثل C:\Windows\System32\secrets)

8. يقوم المستخدم بإطلاق OpLock

9. يقوم المستخدم بحذف الرابط الرمزي

10. سيتم حذف الملف/المجلد الهدف (مثل C:\Windows\System32\secrets)

فيديو PoC: https://drive.google.com/file/d/1RXQgaNBDeopurcP63xmhMXDM7stHaIzO/view?usp=sharing