Lokale Privilegienausweitung in Tencent QQ/TIM

Betroffene Produkte:

• QQ 9.7.1.28940 ~ 9.7.8.29039
• TIM 3.4.5.22071 ~ 3.4.7.22084

Betroffene Komponenten:

• QQProtect.exe 4.5.0.9424 (in TIM 3.4.5.22071)
• QQProtect.exe 4.5.0.9426 (in QQ 9.7.1.28940)
• QQProtectEngine.dll 4.5.0.9424 (in TIM 3.4.5.22071)
• QQProtectEngine.dll 4.5.0.9426 (in QQ 9.7.1.28940)

1. Zusammenfassung

Tencent QQ und TIM sind zwei Instant-Messaging-Software, die von der Shenzhen Tencent Computer System Co., Ltd. entwickelt wurden. Beide enthalten eine Komponente QQProtect.exe, die sich in %ProgramFiles(x86)%\Common Files\Tencent\QQProtect\bin befindet. QQProtect.exe wird als Windows-Dienst namens QPCore installiert und läuft beim Systemstart automatisch als NT Authority\SYSTEM. Sowohl die Komponente QQProtect.exe als auch ihre abhängige DLL QQProtectEngine.dll weisen eine Schwachstelle für das Schreiben an beliebige Adressen auf. Ein Angreifer mit niedrigen Privilegien kann durch die Kombination der beiden Schwachstellen eine bösartige DLL in den QQProtect.exe-Prozess laden und erhält eine NT Authority\SYSTEM-Shell.

2. Schwachstelle

Die erste Schwachstelle befindet sich im Code bei QQProtect.exe+0x40c9f8:

Dabei ist a2 ein Zeiger, der von einem Angreifer kontrolliert werden kann, und dword_41a740 ist eine globale Variable mit dem Wert 0x00000001. Ein Angreifer kann also den Wert DWORD(1) an jede beliebige Adresse schreiben.

Die zweite Schwachstelle befindet sich im Code bei QQProtectEngine.dll+0x3B4F6:

Dabei ist v3 ein Zeiger, der von einem Angreifer kontrolliert werden kann. Ein Angreifer kann also den Wert std::bit_cast<DWORD>(ptr) + 4 an jede beliebige Adresse ptr schreiben.

Ein Angreifer kann einen Funktionszeiger in QQProtect.exe manipulieren und mithilfe von ROP-Ketten beliebigen Code ausführen, da QQProtect.exe keinen ASLR-Schutz besitzt.

3. Konzeptnachweise

Der PoC-Code ist in Rust geschrieben. Sie sollten die Toolchain i686-pc-windows-msvc verwenden, um ihn zu kompilieren.

$ cd poc
$ cargo +stable-i686-pc-windows-msvc build --release --config "build.rustflags = [\"-C\", \"target-feature=+crt-static\"]"

Sie erhalten zwei DLLs:

target\release\tinyxml.dll
target\release\evil.dll

Legen Sie dann die beiden obigen DLLs und %ProgramFiles(x86)%\Common Files\Tencent\QQProtect\bin\QQProtect.exe zusammen in einen Ordner.

Erhalten Sie schließlich mit einem Befehl eine NT Authority\SYSTEM-Shell:

$ QQProtect.exe <PATH TO evil.dll>

4. Demonstration