CVE-2024-27674

Macro Expert <= 4.9.4 – Privilegieneskalation durch unsichere Berechtigungen

Beschreibung:

Eine Schwachstelle durch unsichere Berechtigungen in Macro Expert 4.9.4 und früheren Versionen ermöglicht es einem lokalen unprivilegierten Angreifer, über ein manipuliertes Skript beliebigen Code als SYSTEM auszuführen, indem er die vorhandene Binärdatei MacroService.exe in einem kontrollierbaren Pfad ersetzt.

Betroffene Dienste

Dienstname: Macro Expert

Pfadberechtigung: c:\program files (x86)\grasssoft\macro expert

ACL-Berechtigungen

C:\>icacls "C:\Program Files (x86)\GrassSoft\Macro Expert"
C:\Program Files (x86)\GrassSoft\Macro Expert BUILTIN\Users:(OI)(CI)(M)
                                              NT SERVICE\TrustedInstaller:(I)(F)
                                              NT SERVICE\TrustedInstaller:(I)(CI)(IO)(F)
                                              NT AUTHORITY\SYSTEM:(I)(F)
                                              NT AUTHORITY\SYSTEM:(I)(OI)(CI)(IO)(F)
                                              BUILTIN\Administrators:(I)(F)
                                              BUILTIN\Administrators:(I)(OI)(CI)(IO)(F)
                                              BUILTIN\Users:(I)(RX)
                                              BUILTIN\Users:(I)(OI)(CI)(IO)(GR,GE)
                                              CREATOR OWNER:(I)(OI)(CI)(IO)(F)
                                              APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(RX)
                                              APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(OI)(CI)(IO)(GR,GE)

Angriffsvektor

Dateien in diesem Pfad können von unprivilegierten Benutzern, bösartigen Prozessen und/oder Bedrohungsakteuren geändert werden. Und der Dienst „Macro Expert“, der im SYSTEM-Kontext läuft, ruft die „MacroService.exe“ in diesem Verzeichnis auf. Wenn ein bösartiger Benutzer die ausführbare Datei namens „MacroService.exe“ in diesem Verzeichnis ersetzt, führt der Dienst diese bösartigen Binärdateien beim Neustart unbeabsichtigt aus und führt sie mit SYSTEM-Privilegien aus.

Entdeckt von:

Alaa Kachouh.....