Descripción

• El programa PoC explota el controlador IMFForceDelete, que expone un ioctl que permite a usuarios sin privilegios eliminar archivos y carpetas. Podemos convertir esto en una escalada de privilegios utilizando una técnica explicada por ZDI y Halov, que explota el mecanismo de rollback de MSI, diseñado para mantener la integridad del sistema en caso de problemas. Al eliminarlo y recrearlo con una DACL débil y archivos RBF y RBS falsos, podemos obtener la capacidad de realizar cambios arbitrarios en el sistema como NT AUTHORITY\SYSTEM.

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

NOTA

• No tengo idea de si está corregido o no. En el momento de publicar el PoC, seguía sin corregirse. La eliminación arbitraria de archivos/carpetas ya había sido reportada por otro investigador y era conocida por el proveedor, y no la corrigieron; yo solo la escalé de un bug no tan interesante a un bug mucho más interesante con un mayor impacto, véase el write-up a continuación.

Write-up

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

CRÉDITOS

• Halov
• ZDI
• vx-underground and #ifndef hjonk