CVE-2024-57394

تم تحديد ثغرة أمنية في نظام إدارة أمان نقاط النهاية من Qi-ANXIN Tianqing (تم اختبارها على الإصدار 10.0). تسمح هذه الثغرة للمستخدمين ذوي الامتيازات المنخفضة باستعادة ملف محجوب إلى موقع عشوائي، مثل C:\Windows\System32. يمكن للمهاجم تصميم ملف DLL ضار، واستعادته إلى C:\Windows\System32، واستغلال ثغرات اختطاف DLL المعروفة (مثل LPE عبر StorSvc) لرفع الامتيازات إلى SYSTEM.

خطوات إعادة الإنتاج

قم بتصميم ملف DLL ضار باسم sprintcsp.dll ينفذ أوامر ضارة.

ضع ملف DLL على الجهاز المستهدف، سيتم حظر الملف.

استعد الملف وثق به في عميل EDR.

تم كتابة الملف بنجاح إلى C:\Windows\System32.

قم بإنشاء RpcClient.exe، الذي يستغل ثغرة اختطاف DLL في خدمة StorSvc لتنفيذ ملف DLL الضار sprintcsp.dll. كإثبات للمفهوم، سيقوم ملف DLL بإنشاء خدمة باسم abc وتنفيذ الملف الثنائي في C:\Users\Public\test.exe بصلاحيات SYSTEM. المرجع: https://github.com/blackarrowsec/redteam-research/tree/master/LPE%20via%20StorSvc