CVE-2024-43583 - Windows Privilege-Eskalations-Exploit

Author: No0B@ckSappi3 Instagram: No0BackSappi3

Übersicht

CVE-2024-43583 ist eine Erhöhung von Privilegien-Sicherheitslücke, die Microsofts Winlogon-Komponente betrifft. Die Ausnutzung dieser Sicherheitslücke ermöglicht es einem Benutzer mit niedrigen Berechtigungen, seine Privilegien auf SYSTEM zu erhöhen, was zu einer vollständigen Systemkompromittierung führt.

Dieser Proof-of-Concept (PoC) nutzt Debugger-Hijacking über den Windows-Registrierungsschlüssel Image File Execution Options (IFEO) aus, um einen legitimen Systemprozess durch eine schädliche Nutzlast zu ersetzen.

Betroffene Windows-Versionen

Betroffene Windows-Versionen

Windows 10 (1507 - 22H2) Windows 11 (21H2 - 24H2) Windows Server 2008 SP2 - 2022

⚠️ Haftungsausschluss

Dieser Exploit dient ausschließlich Lehr- und Forschungszwecken. Verwenden Sie ihn nicht auf nicht autorisierten Systemen. Missbrauch dieses Exploits kann illegal sein.

Exploit-Verwendung

Einrichtung

Stellen Sie sicher, dass Python auf dem Zielsystem installiert ist. Falls nicht, verwenden Sie die kompilierte .exe-Version.

Ausführen des Exploits

Option 1: Direkte Ausführung durch einen Benutzer mit niedrigen Berechtigungen

python poc-43583.py

Option 2: Ausführung über den Taskplaner

1. Geplanten Task erstellen: (Als Administrator ausführen)
   root@kitploit:~

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. Task ausführen:
   root@kitploit:~

   schtasks /run /tn "LowPrivExploit"
   

3. Exploit auslösen: Öffnen Sie den Task-Manager (Strg + Umschalt + Esc). Bei Erfolg erscheint stattdessen eine SYSTEM-Shell.

** Überprüfung der Privilegienausweitung**

Sobald der Exploit ausgeführt wird, überprüfen Sie Ihre Berechtigungen:

whoami

Erwartete Ausgabe:

nt authority\system

🛠️ Bereinigung

Methode 1: PoC zum Wiederherstellen der Standardeinstellungen verwenden

Führen Sie das Skript erneut aus und wählen Sie Option [2], um das Hijacking zu entfernen.

Methode 2: Registrierungsschlüssel manuell löschen

1. Öffnen Sie die Eingabeaufforderung als Administrator.
2. Führen Sie aus:
   root@kitploit:~

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. Geplanten Task löschen (falls verwendet):
   root@kitploit:~

   schtasks /delete /tn "LowPrivExploit" /f
   

Erkennung und Schutzmaßnahmen

• Auf unerwartete Debugger-Schlüssel prüfen:
  root@kitploit:~

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• Windows Defender Manipulationsschutz aktivieren, um Registrierungsänderungen zu verhindern.
• EDR/SIEM-Lösungen verwenden, um unbefugte Registrierungsänderungen zu erkennen.

📝 Referenzen

• Microsoft-Sicherheitshinweis
• Exploit-Entwicklungsleitfaden