CVE-2024-0670 – Escalada de privilegios local en el agente CheckMK (PoC en PowerShell)

Resumen

Este repositorio presenta una prueba de concepto independiente en PowerShell para CVE-2024-0670, una vulnerabilidad de escalada de privilegios local en Windows en el agente CheckMK. La vulnerabilidad permite a un usuario local con pocos privilegios escalar a NT AUTHORITY\SYSTEM explotando la ejecución de archivos de comandos predecibles durante un proceso de reparación de MSI.

Esta implementación es un análisis derivado del PoC disponible públicamente de elsevar11 en CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit; reutiliza conceptos centrales y a la vez ofrece una lógica de explotación simplificada.

Referencia original:
https://github.com/elsevar11/CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit/blob/main/exploit.ps1

Resumen de la vulnerabilidad

• Proveedor: Tribe29 / CheckMK
• CVE: CVE-2024-0670
• Severidad: Alta (CVSS 8.8)
• Tipo: Escalada de privilegios local
• Causa raíz: Ruta de búsqueda no controlada en la reparación de MSI con archivos controlados por el atacante.

Durante la reparación de MSI, el instalador ejecuta archivos en C:\Windows\Temp con nombres predecibles. Un usuario sin privilegios puede precargar cargas útiles controladas que posteriormente se ejecutarán con privilegios elevados.

Contenido

Requisitos

• Máquina Windows con el agente CheckMK Windows instalado
• Cuenta de usuario local sin privilegios
• PowerShell (con la Directiva de ejecución que permita la ejecución de scripts)
• Capacidad de escritura en C:\Windows\Temp\
• Listener de reverse shell (opcional, para cargas útiles)

Configuración (exploit.ps1)

Ajuste los siguientes parámetros según sea necesario:

$LHOST  # IP del atacante
$LPORT  # Puerto del atacante
$NcPath # Ruta a la carga útil (p. ej., nc.exe)
$MinPID # Límite inferior para la siembra de archivos
$MaxPID # Límite superior para la siembra de archivos

Uso

1. Inicie un listener en el host atacante:

nc -lvnp <PORT>

2. Ejecute el exploit desde una cuenta con pocos privilegios:

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\exploit.ps1

Si la explotación tiene éxito, se enviará una shell de SYSTEM de vuelta a su listener.

Atribución

El enfoque de explotación — enumerar paquetes MSI, sembrar nombres de archivo predecibles e invocar una reparación de MSI — se basa en el PoC publicado originalmente por elsevar11 en GitHub. Este repositorio adapta esa lógica a una formulación alternativa en PowerShell para mayor claridad y reproducibilidad en la investigación.

Aviso legal

Este código se proporciona únicamente con fines educativos, de ingeniería defensiva y de pruebas autorizadas. El uso contra sistemas sin permiso explícito es ilegal. El autor no asume ninguna responsabilidad por el uso indebido o las consecuencias legales. Licencia

Este repositorio se publica bajo la Licencia MIT.