CVE-2024-0670 - Escalada de Privilegios en la Reparación MSI del Agente CheckMK (NanoCorp HTB)

Este repositorio contiene un script de PowerShell utilizado para explotar CVE-2024-0670 en la máquina NanoCorp de Hack The Box. La vulnerabilidad permite a un usuario con pocos privilegios abusar de la funcionalidad de reparación del MSI del Agente CheckMK en Windows y ejecutar comandos arbitrarios con privilegios de SYSTEM.

Nota: Este exploit fue desarrollado para la máquina NanoCorp de Hack The Box y puede requerir modificaciones antes de usarlo en otros entornos.

Descargo de responsabilidad: Este repositorio se proporciona únicamente con fines educativos y para pruebas de seguridad autorizadas. Úselo solo en sistemas que posea o para los que tenga permiso explícito de prueba.

Uso

Requisitos previos

• RunasCs.exe (se utiliza para ejecutar comandos como otro usuario)

Inicio rápido

1. Suba RunasCs.exe — necesario para ejecutar el exploit como el usuario web_svc.

2. Ejecute el script como el usuario web_svc:

   root@kitploit:~

   .\RunasCs.exe "web_svc" "YourWebSvcPassword" "powershell -ExecutionPolicy Bypass -File C:\ProgramData\CVE-2024-0670-NanoCorp.ps1"
   

3. Espere a que se complete el proceso de reparación del MSI. Esto puede tardar unos minutos.

4. Una vez finalizado, el script mostrará las credenciales de la nueva cuenta de administrador local creada:

   root@kitploit:~

   A new User added as administrator with the following credentials: dfdxarjy Password123@
   

5. Verifique la escalada de privilegios exitosa:

   root@kitploit:~

   nxc smb nanocorp.htb -u "dfdxarjy" -p "Password123@" -k
   

   Salida esperada:

   root@kitploit:~

   [+] nanocorp.htb\dfdxarjy:Password123@ (Pwn3d!)
   

---

Descripción

La vulnerabilidad permite que un usuario con pocos privilegios (como web_svc) escale privilegios a NT AUTHORITY\SYSTEM abusando de la funcionalidad de reparación del Instalador de Windows utilizada por el Agente CheckMK.

El script realiza las siguientes acciones:

1. Localiza el paquete MSI de CheckMK instalado en el sistema de destino.
2. Escribe un archivo por lotes en C:\Windows\Temp que contiene comandos para crear una cuenta de usuario local.
3. Desencadena una reparación del paquete MSI usando msiexec /fa.
4. El proceso de reparación ejecuta el archivo por lotes con privilegios de SYSTEM.
5. El archivo por lotes crea una cuenta de administrador local agregando el usuario al grupo local Administradores.
6. Los archivos temporales se eliminan después de la ejecución.

---

Referencias

• CVE-2024-0670
• Escalada de Privilegios en la Reparación MSI del Agente CheckMK