wh04m1001/cve-2023-29343Proof-of-concept-Exploit für beliebiges Dateischreiben in Sysmon 14.14, der Windows-Dienstablaufverfolgung missbraucht, um eine Privilegienausweitung zu erreichen.
Dies ist ein PoC für einen beliebigen Dateischreibfehler in Sysmon Version 14.14
Nach dem letzten Patch prüft Sysmon, ob das Archivverzeichnis existiert, und falls ja, ob es im Besitz von NT AUTHORITY\SYSTEM ist und der Zugriff nur NT AUTHORITY\SYSTEM gewährt wird. Wenn beide Bedingungen zutreffen, schreibt/löscht Sysmon Dateien in diesem Verzeichnis.
Da es als Benutzer mit niedrigen Berechtigungen nicht möglich ist, den Besitz von Dateien/Verzeichnissen zu ändern, musste ich ein Verzeichnis finden, das sich im Besitz von SYSTEM befindet, aber einem Benutzer mit niedrigen Berechtigungen (oder einer Gruppe, der dieser Benutzer angehört) Vollzugriff oder zumindest WRITE_DAC|DELETE|FILE_WRITE_ATTRIBUTES gewährt.
Ein solches Verzeichnis konnte ich in einer Standardinstallation nicht finden, konnte aber eines erstellen, indem ich die Windows-Dienstablaufverfolgung (Windows service tracing) und den RasMan-Dienst missbrauchte.
Dieser PoC funktioniert nur mit Sysmon Version 14.14 und Windows-Clients vor dem April-Update aufgrund von Änderungen, die mit dem Patch für CVE-2023-28222 eingeführt wurden, welcher den Trick, den ich zum Erstellen eines Verzeichnisses im Besitz von SYSTEM mit Vollzugriff für Benutzer mit niedrigen Berechtigungen verwendet habe, unterband. Der PoC kann so angepasst werden, dass er auch auf Clients nach dem April-Update funktioniert, wenn Sie andere Windows-Dienste zum Erstellen eines Verzeichnisses missbrauchen können (oder von Drittanbieter-Apps erstellte Verzeichnisse finden können :)
https://itm4n.github.io/cve-2020-0668-windows-service-tracing-eop/ (@itm4n)
