CVE-2024-27518 - إثبات المفهوم لتصعيد الامتيازات المحلية لبرنامج SUPERAntiSpyware Professional X

تم اكتشاف هذه الثغرة الأمنية والإفصاح عنها بواسطة M. Akil Gündoğan من فريق أبحاث الثغرات في Secunnix. سيحتوي هذا المستودع على إثبات المفهوم والتنبيهات.

التفاصيل:

• المنتج: SUPERAntiSpyware Professional X وجميع الإصدارات.
• الإصدارات المتأثرة: <=10.0.1262 وآخر إصدار 10.0.1264
• معرف CVE: CVE-2024-27518
• نظام التشغيل: جميع إصدارات Windows المدعومة، تم اختباره على Windows 10 Pro
• الحالة: إفصاح مسؤول علني.
• تاريخ الإصدار: 03.04.2024

وصف الثغرة الأمنية:

SUPERAntiSpyware Professional X 10.0.1262 عرضة لتصعيد الامتيازات المحلية لأنه يسمح للمستخدمين غير المتميزين باستعادة ملف DLL ضار من الحجر الصحي إلى مجلد "C:\Program Files\SUPERAntiSpyware" عبر تقاطع دليل NTFS، كما هو موضح من خلال ملف version.dll مصمم يتم اكتشافه كبرنامج ضار. نظرًا لأن SASCore64.exe يحتوي على ثغرة اختطاف DLL لـ "version.dll"، يتم الحصول على شل كـ NT AUTHORITY\SYSTEM بعد إعادة تشغيل النظام.

التفاصيل التقنية وإثبات المفهوم خطوة بخطوة (PoC):

• 1 - يتم إنشاء ملف version.dll ضار يحتوي على شيل كود.
• 2 - إذا لم يتم اكتشاف ملف version.dll الذي يحتوي على شيل كود الذي تم إنشاؤه بالفعل بواسطة SUPERAntiSpyware، يتم دمجه مع ملف ضار آخر في ".zip" باستخدام الأمر copy /b version_created.dll + malicious.zip version.dll ليتم اكتشافه كملف ضار. بهذه الطريقة، يمكن اكتشاف ملف ".dll" الذي تم إنشاؤه كملف ضار بواسطة SUPERAntiSpyware ووضعه في الحجر الصحي.
• 3 - قم بإنشاء مجلد جديد ونسخ ملف version.dll المُعد فيه. ثم يتم فحص المجلد ويقوم SUPERAntiSpyware بوضع DLL في الحجر الصحي.
• 4 - باستخدام CreateMountPoint.exe من بين أدوات "اختبار الروابط الرمزية" المقدمة من Google، يتم تثبيت المسار الذي تم وضع version.dll فيه في الحجر الصحي داخل دليل C:\Program Files\SUPERAntiSpyware. هذه الأدوات متاحة على الرابط التالي (https://github.com/googleprojectzero/symboliclink-testing-tools) أو يمكنك استخدام الأمر mklink لفعل الشيء نفسه.
• 5 - عند استعادة ملف "version.dll" الموجود في الحجر الصحي، سيتم نسخه إلى دليل SUPERAntiSpyware. بعد إعادة تشغيل النظام، سيقوم SASCore64.exe بتنفيذ الشيل كود الموجود في "version.dll" وفتح جلسة بصلاحيات NT AUTHORITY\SYSTEM للمهاجم.

فيديو:

التخفيفات:

لسوء الحظ، لا يتوفر أي تخفيف. نوصي بإلغاء تثبيت SUPERAntiSpyware حتى يتم إصلاح الثغرة الأمنية.

الجدول الزمني:

• 18.02.2024 - تم الإبلاغ عن الثغرة عبر البريد الإلكتروني لكن البائع رفض إصلاحها.
• 03.04.2024 - الإفصاح الكامل.

المراجع:

• البائع: https://www.superantispyware.com/
• CVE: https://www.cve.org/CVERecord?id=CVE-2024-27518