Beschreibung

Das PoC-Programm nutzt den IMFForceDelete-Treiber aus, der einen ioctl bereitstellt, mit dem unprivilegierte Benutzer Dateien und Ordner löschen können. Wir können dies in eine Rechteausweitung umwandeln, indem wir eine von ZDI und Halov erklärte Technik verwenden, die den MSI-Rollback-Mechanismus ausnutzt, der dazu dient, die Systemintegrität bei Problemen aufrechtzuerhalten. Indem wir ihn löschen und mit einer schwachen DACL sowie gefälschten RBF- und RBS-Dateien neu erstellen, können wir die Fähigkeit erlangen, beliebige Änderungen am System als NT AUTHORITY\SYSTEM vorzunehmen.

VID

Keine Ahnung, ob es behoben wurde oder nicht. Zum Zeitpunkt der Veröffentlichung des PoC war es noch nicht behoben. Das beliebige Löschen von Dateien/Ordnern wurde bereits von einem anderen Forscher gemeldet und war dem Hersteller bekannt, und sie haben es nicht behoben. Ich habe es lediglich von einem nicht so coolen Bug zu einem viel cooleren Bug mit höherer Auswirkung eskaliert – siehe das Write-up unten.