null-event/cve-2024-55968POC لـ DTEX LPE (CVE-2024-55968)
POC لثغرة LPE في DTEX (CVE-2024-55968)
المنتج المتأثر: DEC-M (DTEX Forwarder) الإصدار 6.1.1. تُعدّ DTEX منصة موحّدة لإدارة المخاطر الداخلية.
المكوّن المتأثر: DEC-M EventReportingService XPC Helper
متجه الهجوم: تبيّن أن خدمة الإبلاغ عن الأحداث في DTEX تتضمن مساعد XPC متميز الصلاحيات لا ينفّذ أي تحقق. يمكن لفاعل ضار تسليح هذه الثغرة المنطقية لتصعيد صلاحيات المستخدم محليًا على macOS عبر إساءة استخدام طريقة submitQuery التابعة لبروتوكول DTConnectionHelperProtocol من خلال اتصال XPC غير مصرح به.
خدمة com.dtexsystems.helper، المسؤولة عن معالجة العمليات المتميزة داخل وكيل إعادة توجيه أحداث DTEX على macOS، لا تنفّذ التحقق الحرج من العميل أثناء الاتصال بين العمليات (IPC) عبر XPC. على وجه التحديد، لا تتحقق الخدمة من متطلبات الكود (code requirements) أو الامتيازات (entitlements) أو علامات الأمان (security flags) أو إصدار أي عميل يحاول إنشاء اتصال. يتيح هذا الافتقار إلى التحقق المنطقي السليم للمهاجمين الخبيثين استغلال طرق الخدمة عبر اتصالات عملاء غير مصرح بها وتصعيد الصلاحيات إلى صلاحيات الجذر (root).
بول مونتغومري (@nullevent) ووليد بركات (@WilDN00B)، فريق Red Team في TikTok USDS
