CVE-2024-27518 - SUPERAntiSpyware Professional X LPE PoC

Esta vulnerabilidad fue descubierta y divulgada por M. Akil Gündoğan del Secunnix Vulnerability Research Team. Este repositorio contendrá la prueba de concepto y los avisos.

Detalles:

• Producto: SUPERAntiSpyware Professional X y todas las ediciones.
• Versiones afectadas: <=10.0.1262 y la última versión 10.0.1264
• ID CVE: CVE-2024-27518
• Sistema operativo: Todas las versiones de Windows compatibles, probado en Windows 10 Pro
• Estado: Divulgación responsable pública.
• Fecha de publicación: 03.04.2024

Descripción de la vulnerabilidad:

SUPERAntiSpyware Professional X 10.0.1262 es vulnerable a una escalada de privilegios local porque permite a usuarios sin privilegios restaurar una DLL maliciosa desde la cuarentena a la carpeta "C:\Program Files\SUPERAntiSpyware" mediante un enlace de directorio NTFS, como lo demuestra un archivo version.dll manipulado que es detectado como malware. Dado que SASCore64.exe tiene una vulnerabilidad de secuestro de DLL para "version.dll", se obtiene un shell como NT AUTHORITY\SYSTEM después de reiniciar el sistema.

Detalles técnicos y prueba de concepto (PoC) paso a paso:

• 1 - Se crea un archivo version.dll malicioso que contiene shellcode.
• 2 - Si el version.dll con shellcode generado no es detectado por SUPERAntiSpyware, se combina con otro archivo malicioso en ".zip" con el comando copy /b version_created.dll + malicious.zip version.dll para que sea detectado como malicioso. De esta manera, el archivo ".dll" creado puede ser detectado como malicioso por SUPERAntiSpyware y puesto en cuarentena.
• 3 - Crear una nueva carpeta y copiar el version.dll preparado en ella. Luego se escanea la carpeta y SUPERAntiSpyware pone en cuarentena la DLL.
• 4 - Usando CreateMountPoint.exe entre las herramientas de "Symbolic Link Testing" proporcionadas por Google, la ruta donde se encuentra en cuarentena version.dll se monta en el directorio C:\Program Files\SUPERAntiSpyware. Estas herramientas están disponibles en el siguiente enlace (https://github.com/googleprojectzero/symboliclink-testing-tools) o puede usar el comando mklink para hacer lo mismo.
• 5 - Cuando se restaura el "version.dll" en cuarentena, se copiará al directorio de SUPERAntiSpyware. Después de que el sistema se reinicie, SASCore64.exe ejecutará el shellcode en "version.dll" y abrirá una sesión con privilegios de NT AUTHORITY\SYSTEM para el atacante.

Video:

Mitigaciones:

Desafortunadamente, no está disponible. Recomendamos desinstalar SUPERAntiSpyware hasta que se solucione la vulnerabilidad.

Cronología:

• 18.02.2024 - Vulnerabilidad reportada por correo electrónico, pero el proveedor se negó a corregirla.
• 03.04.2024 - Divulgación completa.

Referencias:

• Proveedor: https://www.superantispyware.com/
• CVE: https://www.cve.org/CVERecord?id=CVE-2024-27518