CVE-2026-9789

ID de CVE: CVE-2026-9789
Investigador: Vo Duc Thang (ugvxb)
Reconocimiento: https://community.acer.com/en/kb/articles/19670
Video POC: https://drive.google.com/file/d/1B8b42bE68CWMnlqG6eJWi0txGFsHAJZc/view?usp=sharing

1. Resumen Ejecutivo

Se ha descubierto una vulnerabilidad crítica de escalada de privilegios local en el software Acer NitroSense (PSAdminAgent.exe). La vulnerabilidad permite que cualquier usuario local autenticado elimine archivos arbitrarios con privilegios de SYSTEM, lo que potencialmente conduce a un compromiso total del sistema mediante la omisión del software de seguridad.

2. Detalles de la Vulnerabilidad

2.1 Resumen

El servicio PSAdminAgent.exe crea una tubería con nombre (named pipe) con una Lista de Control de Acceso (ACL) excesivamente permisiva que permite que cualquier usuario autenticado se conecte y envíe comandos. El servicio procesa comandos de eliminación de archivos sin validar los privilegios de la persona que llama ni restringir las rutas de destino. Dado que el servicio se ejecuta con privilegios de SYSTEM, esto permite que cualquier usuario local elimine archivos arbitrarios como SYSTEM.

2.2 Análisis de Causa Raíz

Problema 1: ACL débil en la tubería con nombre

La tubería con nombre se crea con la siguiente cadena de Lenguaje de Definición de Descriptores de Seguridad (SDDL):

D:(A;OICI;GA;;;BG)(D;OICI;GA;;;AN)(A;OICI;GRGWGX;;;AU)(A;OICI;GA;;;BA)

Decodificada:

Problema 2: Sin validación de rutas

El manejador del comando delete_file pasa las rutas proporcionadas por el usuario directamente a la API DeleteFileW de Windows sin ninguna validación ni restricción.

Problema 3: Sin autenticación de la persona que llama

El servicio no verifica que el cliente que se conecta sea una aplicación autorizada de Acer, lo que permite que cualquier proceso envíe comandos.

3. Comandos Afectados

Según el análisis de ingeniería inversa, se confirma que el siguiente comando es explotable:

3.1 Ubicaciones de Funciones Vulnerables (PSAdminAgent.exe)

3.2 Ubicación de la cadena SDDL

Dirección: 0x140059810

D:(A;OICI;GA;;;BG)(D;OICI;GA;;;AN)(A;OICI;GRGWGX;;;AU)(A;OICI;GA;;;BA)

3.3 Tabla de Despacho de Comandos

Dirección: 0x140057950

[0x00] -> 0x140009080
[0x01] -> 0x140009310
[0x02] -> 0x1400093a0
[0x03] -> 0x1400094e0  (delete_file) <- VULNERABLE CONFIRMADO
[0x04] -> 0x140009610
[0x05] -> 0x1400097c0
...
[0x0E] -> 0x14000a950

3.4 Ruta de Código Vulnerable Confirmada

PSAdminAgent.exe
    -> Named Pipe: \\.\pipe\PredatorSense_admin_agent_X
        -> Command Handler (0x140008d14)
            -> CMD 0x0003: delete_file (0x1400094e0)
                -> DeleteFileW(user_supplied_path)  <- SIN VALIDACIÓN

4. Evaluación de Riesgo

4.1 Puntuación CVSS v4.0

5. Referencias

• CWE-732: https://cwe.mitre.org/data/definitions/732.html
• CWE-284: https://cwe.mitre.org/data/definitions/284.html
• CWE-22: https://cwe.mitre.org/data/definitions/22.html
• CWE-269: https://cwe.mitre.org/data/definitions/269.html

6. Aviso Legal

Este POC es solo para fines educativos y de investigación de seguridad autorizada. El autor no es responsable de ningún uso indebido. La explotación sin autorización es ilegal.