CVE-2024-7479 TeamViewer Unsachgemäße Signaturprüfung der Treiberinstallation
Autor: Marcos Accossatto
Nur zu Demonstrationszwecken. Der vollständige Exploit funktioniert auf einer anfälligen Version von TeamViewer für Windows.
Einleitung
Dieser Exploit-PoC ist eine Python-Implementierung von Pedro Gabaldons PoC für CVE-2024-7479.
Dieses Skript enthält alle Klassen für die Handhabung des IPC-Protokolls zur Ausnutzung.
Für die finale Ausnutzung müssen der dbutil_2_3.sys-Treiber und die kompilierte ausführbare Datei aus dem BYOVDKit-Projekt im selben lokalen Verzeichnis wie dieses Skript vorhanden sein.
Dieses Skript wurde gegen TeamViewer 15.57.5 getestet.
Ausnutzungsschritte des Skripts
Dieses Skript führt die folgenden Schritte aus, um die Schwachstelle auszunutzen:
- Einen Socket gegen 127.0.0.1 und Port 5939 öffnen.
- BYOVDKit.exe mit folgender Befehlszeile ausführen, um zu testen, ob der Treiber bereits installiert ist:
BYOVDKit.exe 1 token 4
- Die erste IPC-Anfrage über die getClientAuth-Funktion zusammenstellen und an den Server senden.
- Die response_challenge aus der Serverantwort über die getServerChallengeFromResponse-Funktion entnehmen
- response_challenge und einen „secret“-Wert verketten, den MD5-Hashwert berechnen und dann verwenden, um die zweite IPC-Anfrage über die getClientAuth-Funktion zusammenzustellen.
- Die zweite Anfrage senden, um die Authentifizierung abzuschließen.
- Die PID des Python-Prozesses ermitteln, die Version der ausführbaren Datei TeamViewer.exe lokalisieren und extrahieren, die dritte IPC-Anfrage über die getControlRequest-Funktion zusammenstellen und an den Server senden.
- IPC-Pakete vom Server lesen, bis die Synchronisationskonfiguration abgeschlossen ist (21 Pakete sind normal)
- Die Datei TeamViewerVPN.cat aus dem TeamViewer-Verzeichnis x64 in das Skriptverzeichnis kopieren.
- Die Datei TeamViewerVPN.inf aus dem TeamViewer-Verzeichnis x64 in das Skriptverzeichnis kopieren und als zufällige INF-Datei umbenennen.
- Die Datei dbutil_2_3.sys aus dem Skriptverzeichnis in TeamViewerVPN.sys umbenennen.
- Die dritte IPC-Anfrage über die getInstallDriverRequest-Funktion zusammenstellen und an den Server senden.
- Warten, bis der Benutzer auf die Schaltfläche Dieses Treibersoftware trotzdem installieren klickt, um die Treiberinstallation abzuschließen, und dann ENTER drücken
- Alle kopierten, erstellten oder umbenannten Dateien löschen (TeamViewerVPN.cat, TeamViewerVPN.sys und zufällige .inf-Datei)
- BYOVDKit.exe mit folgender Befehlszeile ausführen, um eine cmd als System zu starten:
BYOVDKit.exe 1 token 4
Verwendung
- cmd.exe als normaler Benutzer ausführen.
- whoami verwenden, um den Benutzernamen zu überprüfen.
- Das Skript mit python CVE-2024-7479_PoC.py ausführen.
- Wenn die Warnung zur Treiberinstallation erscheint, auf die Nachricht Dieses Treibersoftware trotzdem installieren klicken, um den Treiber zu installieren.
- Zurück zum cmd-Fenster gehen und ENTER drücken, um mit der Skriptausführung fortzufahren.
- whoami verwenden, um zu überprüfen, ob der Benutzername nt authority\system ist.
Referenzen
Wir hoffen, es ist nützlich für Sie. Bei Fragen können Sie uns unter [email protected] kontaktieren.
Viel Spaß!
fortra/cve-2024-7479
