sinsinology/cve-2022-26503Proof-of-Concept-Exploit für CVE-2022-26503, eine lokale Privilege-Escalation-Schwachstelle in Veeam Agent for Windows über .NET-Deserialisierung, die die Ausführung beliebigen Codes als SYSTEM ermöglicht.
Die Schwachstelle (CVE-2022-26503) in Veeam Agent for Microsoft Windows ermöglicht eine lokale Rechteausweitung. Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, könnte beliebigen Code mit LOCAL-SYSTEM-Berechtigungen ausführen.
Ein Dank an @ultrayoba
Der implementierte Patch zeigt die Blutspur der Deserialisierung:
Das offizielle Veeam-KB erwähnt:
Veeam Agent for Microsoft Windows verwendet Microsoft .NET-Datenserialisierungsmechanismen. Ein lokaler Benutzer kann bösartigen Code an den Netzwerkport senden, der von Veeam Agent for Windows Service geöffnet wird (TCP 9395 standardmäßig), wobei dieser nicht ordnungsgemäß deserialisiert wird.
Die Überprüfung des Prozesses hinter dem angegebenen Port führt zu Veeam.EndPoint.Service.exe
Die Überprüfung von Veeam.EndPoint.Service.exe zeigt die Registrierung von VeeamService für .NET Remoting
Prozesse, die mit dem registrierten Kanal kommunizieren, geben Informationen über Veeam.EndPoint.Tray.exe preis, die zeigen, dass dieser Kanal vom Tray-Prozess verwendet wird
Die vom Tray geladenen Module deuten auf Veeam.Common.Remoting.dll hin
Verwendung von TcpClientChannel mit aktiviertem Secure
