CVE-2024-54910

https://www.cve.org/CVERecord?id=CVE-2024-54910

تستكشف هذه الوثيقة ثغرة أمنية تسمح بكتابة ملفات عشوائية، مما يؤدي إلى تصعيد الامتيازات على نظام ويندوز مثبت عليه Hasleo Backup Suite Free <= 4.9.4. وتوضح كيف يمكن لعمليات استعادة النسخ الاحتياطي، مقترنة بالروابط الرمزية وعمليات المستخدمين منخفضي الامتيازات، أن تستبدل ملفات النظام الحرجة أو تضع ملفات تنفيذية خبيثة في الدلائل الحساسة، مما يمكن المهاجمين من الحصول على وصول إداري. تنقسم المنهجية إلى مرحلتين: استغلال ثغرة كتابة الملفات وتصعيد الامتيازات بوضع حمولة خبيثة في مجلد بدء تشغيل ويندوز.

الإصدار المتأثر: Hasleo Backup Suite Free <= 4.9.4

مواصفات المضيف: Microsoft Windows 10 Pro 64-bit 10.0.19045

كتابة ملفات عشوائية عند اختبار صلاحيات الملفات أثناء استعادة نسخة احتياطية، لاحظت أن الملف ينتقل بصلاحيات إدارية إلى أي مكان نحدده، مما ينشئ المسار الكامل للملف، مثل C+\باقيالمسار. سنقوم بتطوير كل خطوة كمستخدم منخفض الامتيازات.

خطوات إعادة الإنتاج:

• أولاً، نقوم بإنشاء الملف في C:\Temp
• بعد ذلك، نقوم بإنشاء نسخة احتياطية جديدة من هذا الملف كمستخدم "little". نضع الملف في C:\Temp أيضاً، لكن ذلك لا يهم حقاً.
• الآن، نقوم بإنشاء رابط رمزي في مجلد فارغ أنشأناه في C:\، حيث لا نحتاج إلى صلاحيات إدارية لإنشاء مجلدات في C:\ . سيكون المجلد C:\C+
• نفتح الرابط الرمزي: C:\SymbolicLinks\CreateSumlink.exe C:\C+\Temp\Copyme.txt C:\Windows\Copyme.txt
• الآن، نريد استعادة النسخة الاحتياطية التي أنشأناها، نختار الملف الذي نريد كتابته في C:\Windows ونغير مسار الإخراج إلى C:\ (قبل النقر على الزر، لنقم بإنشاء ملف Copyme.txt بصلاحيات إدارية بمحتوى "I'm not vulnerable" في C:\Windows)
• بعد ذلك، ننقر على زر التالي، لقد نجحنا الآن في استبدال الملف الذي أنشأناه كمسؤول

من أجل تصعيد امتيازاتنا، يمكننا على سبيل المثال وضع ملف تنفيذي في مجلد بدء تشغيل ويندوز:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hasleo Backup Suite>C:\SymbolicLinks\CreateSymlink.exe C:\C+\Temp\pwned.exe "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe"

Opened Link \RPC Control\pwned.exe -> ??\C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe: 00000138 Press ENTER to exit and delete the symlink