CVE-2024-37726 Escalada de Privilegios Local en MSI Center – Vulnerabilidad de Sobrescritura Arbitraria de Archivos

Resumen de la Vulnerabilidad

Se ha identificado una vulnerabilidad de escalada de privilegios local en sistemas Windows en versiones de MSI Center <= 2.0.36.0, que permite a un usuario con pocos privilegios sobrescribir o eliminar arbitrariamente archivos críticos y de altos privilegios en el sistema. Esta vulnerabilidad se debe a que la aplicación MSI Center se ejecuta con privilegios NT AUTHORITY\SYSTEM y escribe el archivo en un directorio controlado por un usuario de bajos privilegios, lo que permite que un usuario con pocos privilegios manipule el sistema de archivos mediante un enlace simbólico y engañe a la aplicación para que escriba o sobrescriba archivos en ubicaciones arbitrarias.

Detalles de la Vulnerabilidad

La vulnerabilidad se desencadena cuando un usuario con pocos privilegios crea un directorio y establece un OpLock en un archivo dentro de ese directorio. El usuario puede entonces utilizar la función "Exportar Información del Sistema" en MSI Center para desencadenar una operación de escritura en el archivo con OpLock. Mientras el OpLock está activo, el usuario puede mover el archivo original y crear un junction a un archivo destino, permitiendo que la aplicación MSI Center sobrescriba o elimine el archivo destino con privilegios SYSTEM.

Pasos para Reproducir

1. Crear un directorio con un solo archivo (p. ej., C:\Users\Public\eop\12345.txt).
2. Establecer un OpLock en el archivo 12345.txt.
3. Elegir la función "Exportar Información del Sistema" en MSI Center y seleccionar el archivo con OpLock para desencadenar una operación de escritura.
4. Los procesos MSI Center.exe y MSI.CentralServer.exe se pausarán debido al OpLock.
5. Mover el archivo 12345.txt para vaciar el directorio.
6. Crear un junction desde el directorio original a una ubicación destino (p. ej., GLOBAL\GLOBALROOT\RPC Control\12345.txt).
7. Crear un enlace simbólico desde la ubicación destino al archivo destino (p. ej., C:\Windows\lsasetup.log).
8. Liberar el OpLock.
9. Eliminar el enlace simbólico.
10. El archivo destino (p. ej., C:\Windows\lsasetup.log) será eliminado y sobrescrito.

Escalada de Privilegios

Podríamos crear e instalar el programa sin derechos de administrador, instalarlo en cualquier lugar donde un usuario de bajos privilegios tenga acceso de escritura. Como la salida contiene el nombre del programa instalado, podemos abusar del nombre del programa y escribir el resultado en C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\backdoor.bat. Cuando un administrador inicie sesión, ejecutará nuestro payload y provocará una escalada de privilegios.

Asegúrese de usar MsiInfo.exe para eliminar el requisito de administrador de la instalación.

C:\Program Files (x86)\Windows Kits\10\bin\10.0.17763.0\x86\MsiInfo.exe "D:\tools\MSI Center EOP\t& calc.exe &\Release\t& calc.exe &.msi" -w 10

Pasos de la Escalada de Privilegios

1. Con un usuario de bajos privilegios, cree e instale el programa con el payload como nombre del programa.

2. Vuelva a ejecutar el PoC pero apunte el enlace a C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\calc.bat

3. Observe que nuestro payload se ha incluido en la salida.

4. Abusando de las características de ejecución automática, cuando un administrador inicie sesión, podríamos engañarlo para que ejecute código arbitrario.

Impacto

Una explotación exitosa de esta vulnerabilidad permite a un usuario con pocos privilegios sobrescribir o eliminar arbitrariamente archivos críticos del sistema, lo que lleva a una posible escalada de privilegios. Esto podría resultar en un compromiso total del sistema.

Referencia

https://csr.msi.com/global/product-security-advisories

Observación

Se ha lanzado una nueva versión (2.0.38.0) el 3/7/2024 que corrige la vulnerabilidad.