CVE-2026-9789

CVE-ID: CVE-2026-9789
Forscher: Vo Duc Thang (ugvxb)
Bestätigung: https://community.acer.com/en/kb/articles/19670
Video-POC: https://drive.google.com/file/d/1B8b42bE68CWMnlqG6eJWi0txGFsHAJZc/view?usp=sharing

1. Zusammenfassung

In der Acer-NitroSense-Software (PSAdminAgent.exe) wurde eine kritische Schwachstelle zur lokalen Rechteausweitung entdeckt. Die Schwachstelle erlaubt es jedem authentifizierten lokalen Benutzer, beliebige Dateien mit SYSTEM-Rechten zu löschen, was über die Umgehung von Sicherheitssoftware möglicherweise zu einer vollständigen Kompromittierung des Systems führt.

2. Details zur Schwachstelle

2.1 Überblick

Der Dienst PSAdminAgent.exe erstellt eine Named Pipe mit einer übermäßig permissiven Access Control List (ACL), die es jedem authentifizierten Benutzer erlaubt, sich zu verbinden und Befehle zu senden. Der Dienst verarbeitet Dateilöschbefehle, ohne die Berechtigungen des Aufrufers zu validieren oder die Zielpfade einzuschränken. Da der Dienst mit SYSTEM-Rechten läuft, kann jeder lokale Benutzer auf diese Weise beliebige Dateien als SYSTEM löschen.

2.2 Ursachenanalyse

Problem 1: Schwache Named-Pipe-ACL

Die Named Pipe wird mit der folgenden SDDL-Zeichenkette (Security Descriptor Definition Language) erstellt:

D:(A;OICI;GA;;;BG)(D;OICI;GA;;;AN)(A;OICI;GRGWGX;;;AU)(A;OICI;GA;;;BA)

Dekodiert:

Problem 2: Keine Pfadvalidierung

Der Befehlsbehandler für delete_file übergibt benutzerbereitgestellte Pfade direkt an die Windows-API DeleteFileW, ohne Validierung oder Einschränkung.

Problem 3: Keine Authentifizierung des Aufrufers

Der Dienst prüft nicht, ob der verbundene Client eine autorisierte Acer-Anwendung ist, sodass jeder Prozess Befehle senden kann.

3. Betroffene Befehle

Basierend auf einer Reverse-Engineering-Analyse ist der folgende Befehl nachweislich ausnutzbar:

3.1 Anfällige Funktionsstellen (PSAdminAgent.exe)

3.2 Speicherort der SDDL-Zeichenkette

Adresse: 0x140059810

D:(A;OICI;GA;;;BG)(D;OICI;GA;;;AN)(A;OICI;GRGWGX;;;AU)(A;OICI;GA;;;BA)

3.3 Befehlsverteilungstabelle

Adresse: 0x140057950

[0x00] -> 0x140009080
[0x01] -> 0x140009310
[0x02] -> 0x1400093a0
[0x03] -> 0x1400094e0  (delete_file) <- BESTÄTIGT ANFÄLLIG
[0x04] -> 0x140009610
[0x05] -> 0x1400097c0
...
[0x0E] -> 0x14000a950

3.4 Bestätigter anfälliger Codepfad

PSAdminAgent.exe
    -> Named Pipe: \\.\pipe\PredatorSense_admin_agent_X
        -> Befehlsbehandler (0x140008d14)
            -> BEFEHL 0x0003: delete_file (0x1400094e0)
                -> DeleteFileW(benutzerbereitgestellter_pfad)  <- KEINE VALIDIERUNG

4. Risikobewertung

4.1 CVSS-v4.0-Score

5. Referenzen

• CWE-732: https://cwe.mitre.org/data/definitions/732.html
• CWE-284: https://cwe.mitre.org/data/definitions/284.html
• CWE-22: https://cwe.mitre.org/data/definitions/22.html
• CWE-269: https://cwe.mitre.org/data/definitions/269.html

6. Haftungsausschluss

Dieser POC dient ausschließlich Bildungs- und autorisierten Sicherheitsforschungszwecken. Der Autor ist nicht für jeglichen Missbrauch verantwortlich. Die Ausnutzung ohne Autorisierung ist illegal.