CVE-2024-27674

Macro Expert <= 4.9.4 - Unsichere Berechtigungen / Berechtigungserweiterung

Beschreibung:

Eine Sicherheitsanfälligkeit durch unsichere Berechtigungen in Macro Expert 4.9.4 und niedrigeren Versionen ermöglicht es einem lokalen, unprivilegierten Angreifer, beliebigen Code als SYSTEM auszuführen, indem er ein präpariertes Skript verwendet und die vorhandene MacroService.exe-Binärdatei in einem kontrollierbaren Pfad ersetzt.

Betroffener Dienst

Dienstname: Macro Expert

Pfadberechtigung: c:\program files (x86)\grasssoft\macro expert

ACL-Berechtigungen

C:\>icacls "C:\Program Files (x86)\GrassSoft\Macro Expert"
C:\Program Files (x86)\GrassSoft\Macro Expert BUILTIN\Users:(OI)(CI)(M)
                                              NT SERVICE\TrustedInstaller:(I)(F)
                                              NT SERVICE\TrustedInstaller:(I)(CI)(IO)(F)
                                              NT AUTHORITY\SYSTEM:(I)(F)
                                              NT AUTHORITY\SYSTEM:(I)(OI)(CI)(IO)(F)
                                              BUILTIN\Administrators:(I)(F)
                                              BUILTIN\Administrators:(I)(OI)(CI)(IO)(F)
                                              BUILTIN\Users:(I)(RX)
                                              BUILTIN\Users:(I)(OI)(CI)(IO)(GR,GE)
                                              CREATOR OWNER:(I)(OI)(CI)(IO)(F)
                                              APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(RX)
                                              APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(OI)(CI)(IO)(GR,GE)

Angriffsvektor

Dateien in diesem Pfad können von unprivilegierten Benutzern, bösartigen Prozessen und/oder Bedrohungsakteuren geändert werden. Und der Dienst "Macro Expert", der im SYSTEM-Kontext ausgeführt wird, ruft die "MacroService.exe" in diesem Verzeichnis auf. Wenn ein bösartiger Benutzer die ausführbare Datei namens "MacroService.exe" in diesem Verzeichnis ersetzt, wird der Dienst diese bösartigen Binärdateien beim Neustart versehentlich ausführen und sie mit SYSTEM-Berechtigungen ausführen.

Entdeckt von:

Alaa Kachouh