CVE-2024-0670 - Escalada de privilegios mediante la reparación del MSI del agente CheckMK (NanoCorp HTB)

Este repositorio contiene un script de PowerShell utilizado para explotar CVE-2024-0670 en la máquina NanoCorp de Hack The Box. La vulnerabilidad permite a un usuario con pocos privilegios abusar de la funcionalidad de reparación del MSI del agente de CheckMK para Windows y ejecutar comandos arbitrarios con privilegios de SYSTEM.

Nota: Este exploit fue desarrollado para la máquina NanoCorp de Hack The Box y puede requerir modificaciones antes de usarse en otros entornos.

Aviso legal: Este repositorio se proporciona únicamente con fines educativos y para pruebas de seguridad autorizadas. Úsalo solo en sistemas de tu propiedad o para los que tengas permiso explícito de realizar pruebas.

Uso

Requisitos previos

• RunasCs.exe (se utiliza para ejecutar comandos como otro usuario)

Inicio rápido

1. Sube RunasCs.exe — es necesario para ejecutar el exploit como el usuario web_svc.

2. Ejecuta el script como el usuario web_svc:

   root@kitploit:~

   .\RunasCs.exe "web_svc" "YourWebSvcPassword" "powershell -ExecutionPolicy Bypass -File C:\ProgramData\CVE-2024-0670-NanoCorp.ps1"
   

3. Espera a que finalice el proceso de reparación del MSI. Esto puede tardar unos minutos.

4. Una vez finalizado, el script mostrará las credenciales de la cuenta de administrador local recién creada:

   root@kitploit:~

   A new User added as administrator with the following credentials: dfdxarjy Password123@
   

5. Verifica que la escalada de privilegios se haya realizado correctamente:

   root@kitploit:~

   nxc smb nanocorp.htb -u "dfdxarjy" -p "Password123@" -k
   

   Salida esperada:

   root@kitploit:~

   [+] nanocorp.htb\dfdxarjy:Password123@ (Pwn3d!)
   

---

Descripción

La vulnerabilidad permite a un usuario con pocos privilegios (como web_svc) escalar privilegios a NT AUTHORITY\SYSTEM abusando de la funcionalidad de reparación de Windows Installer utilizada por el agente de CheckMK.

El script realiza las siguientes acciones:

1. Localiza el paquete MSI de CheckMK instalado en el sistema objetivo.
2. Escribe un archivo por lotes en C:\Windows\Temp que contiene comandos para crear una cuenta de usuario local.
3. Desencadena una reparación del paquete MSI usando msiexec /fa.
4. El proceso de reparación ejecuta el archivo por lotes con privilegios de SYSTEM.
5. El archivo por lotes crea una cuenta de administrador local añadiendo el usuario al grupo local Administrators.
6. Los archivos temporales se eliminan después de la ejecución.

---

Referencias

• CVE-2024-0670
• CheckMK Windows Agent MSI Repair Privilege Escalation