hyp3rlinx/cve-2022-47529RSA NetWitness Platform EDR Agent / Fehlerhafte Zugriffskontrolle - Codeausführung
RSA NetWitness Platform EDR-Agent / Fehlerhafte Zugriffskontrolle - Codeausführung
Während eines Sicherheitsaudits des EDR-Agents entdeckte ich einen neuartigen Vektor, um den Dienst allein mit Standard-Benutzerrechten zu manipulieren, indem ich ein unsicheres Win32-Speicherereignisobjekt ins Visier nahm. Das Übernehmen der Dienstkonfiguration ist ebenfalls möglich, wenn der Exploit als Administrator ausgeführt wird.
CVE-2022-47529 ermöglicht es lokalen Benutzern, den Windows-Endpunkt-Agenten daran zu hindern, Ereignisse an das SIEM zu senden, oder den Agenten zu veranlassen, vom Benutzer bereitgestellte Befehle auszuführen.
Unsichere Win32-Speicherobjekte in Windows-Endpunkt-Agenten der NetWitness Platform bis einschließlich 12.x ermöglichen es lokalen Windows-Benutzerkonten sowie Administratorkonten, die Dienstkonfiguration des Endpunkt-Agenten zu ändern: um ihn entweder vollständig zu deaktivieren oder vom Benutzer bereitgestellten Code bzw. Befehle auszuführen und dabei den Manipulationsschutz (Tamper Protection) durch Änderung der ACL zu umgehen.
Interessanterweise wurde der Agent am 05.01.2022 um 17:24:32 UTC bei VirusTotal hochgeladen – Monate vor der Entdeckung und der Meldung.
SHA-256 770005f9b2333bf713ec533ef1efd2b65083a5cfb9f8cbb805ccb2eba423cc3d LANDeskService.exe
[Netzwerkzugriff] Lokal
