CVE-2024-54910

https://www.cve.org/CVERecord?id=CVE-2024-54910

Este documento explora una vulnerabilidad que permite escrituras arbitrarias de archivos, lo que conduce a una escalada de privilegios en un sistema Windows que tenga instalado Hasleo Backup Suite Free <= 4.9.4. Demuestra cómo las operaciones de recuperación de copias de seguridad, combinadas con enlaces simbólicos y operaciones de usuarios con bajos privilegios, pueden sobrescribir archivos críticos del sistema o colocar ejecutables maliciosos en directorios sensibles, permitiendo a los atacantes obtener acceso administrativo. La metodología se divide en dos fases: explotar la vulnerabilidad de escritura de archivos y escalar privilegios colocando una carga útil maliciosa en la carpeta de inicio de Windows.

Versión afectada: Hasleo Backup Suite Free <= 4.9.4

Especificaciones del host: Microsoft Windows 10 Pro 64-bit 10.0.19045

Escritura arbitraria de archivos Al probar los permisos de archivos al recuperar una copia de seguridad, detecté que el archivo se escribe con privilegios de administrador en cualquier ubicación que especifiquemos, creando la ruta completa del archivo, como C+\restodelaruta. Desarrollaremos cada paso como un usuario con bajos privilegios.

Pasos para reproducir:

• Primero, creamos el archivo en C:\Temp
• Después, creamos una nueva copia de seguridad de este archivo como el usuario "little". Colocamos el archivo en C:\Temp también, pero realmente no importa.
• Ahora, creamos un enlace simbólico en una carpeta vacía que hemos creado en C:, ya que no necesitamos ser administradores para crear carpetas en C:. La carpeta será C:\C+
• Abrimos el enlace simbólico: C:\SymbolicLinks\CreateSumlink.exe C:\C+\Temp\Copyme.txt C:\Windows\Copyme.txt
• Ahora, queremos recuperar la copia de seguridad que hicimos. Seleccionamos el archivo que queremos escribir en C:\Windows y cambiamos la ruta de salida a C:\ (Antes de hacer clic en el botón, creemos como administrador un archivo Copyme.txt con el contenido "I'm not vulnerable" en C:\Windows)
• Después, hacemos clic en el botón siguiente. Ahora hemos sobrescrito con éxito el archivo que creamos como administrador

Para escalar nuestros privilegios, podríamos, por ejemplo, colocar un ejecutable en la carpeta de inicio de Windows:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hasleo Backup Suite>C:\SymbolicLinks\CreateSymlink.exe C:\C+\Temp\pwned.exe "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe"

Opened Link \RPC Control\pwned.exe -> ??\C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe: 00000138 Press ENTER to exit and delete the symlink