CVE-2024-37726 MSI Center Élévation de privilèges locale - Vulnérabilité d'écrasement arbitraire de fichiers

Résumé de la vulnérabilité

Une vulnérabilité d'élévation de privilèges locale sur Windows OS a été identifiée dans MSI Center versions <= 2.0.36.0, qui permet à un utilisateur à faibles privilèges d'écraser ou de supprimer arbitrairement des fichiers hautement privilégiés et critiques sur un système. Cette vulnérabilité est causée par l'application MSI Center s'exécutant avec les privilèges NT AUTHORITY\SYSTEM et écrivant le fichier dans un répertoire contrôlé par un utilisateur à faibles privilèges, ce qui permet à un utilisateur à faibles privilèges de manipuler le système de fichiers avec un symlink et de tromper l'application en écrivant ou écrasant des fichiers dans des emplacements arbitraires.

Détails de la vulnérabilité

La vulnérabilité est déclenchée lorsqu'un utilisateur à faibles privilèges crée un répertoire et définit un OpLock sur un fichier dans ce répertoire. L'utilisateur peut ensuite utiliser la fonction "Exporter les informations système" dans MSI Center pour déclencher une opération d'écriture de fichier sur le fichier verrouillé par OpLock. Pendant que l'OpLock est en place, l'utilisateur peut déplacer le fichier original et créer une jonction vers un fichier cible, permettant à l'application MSI Center d'écraser ou de supprimer le fichier cible avec les privilèges SYSTEM.

Étapes de reproduction

1. Créez un répertoire avec un seul fichier (par exemple, C:\Users\Public\eop\12345.txt).
2. Définissez un OpLock sur le fichier 12345.txt.
3. Choisissez la fonction "Exporter les informations système" dans MSI Center et sélectionnez le fichier verrouillé par OpLock pour déclencher une opération d'écriture de fichier.
4. Les processus MSI Center.exe et MSI.CentralServer.exe seront mis en pause à cause de l'OpLock.
5. Déplacez le fichier 12345.txt pour vider le répertoire.
6. Créez une junction du répertoire d'origine vers un emplacement cible (par exemple, GLOBAL\GLOBALROOT\RPC Control\12345.txt).
7. Créez un lien symbolique de l'emplacement cible vers le fichier cible (par exemple, C:\Windows\lsasetup.log).
8. Relâchez l'OpLock.
9. Supprimez le lien symbolique.
10. Le fichier cible (par exemple, C:\Windows\lsasetup.log) sera supprimé et écrasé.

Élévation de privilèges

Nous pouvons créer et installer le programme sans droits administrateur, l'installer n'importe où où l'utilisateur à faibles privilèges a un accès en écriture. Comme la sortie contient le nom du programme installé, nous pouvons abuser du nom du programme, écrire le résultat dans C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\backdoor.bat. Lorsqu'un administrateur se connecte, il exécutera notre payload et provoquera une élévation de privilèges.

Assurez-vous d'utiliser MsiInfo.exe pour supprimer l'exigence d'administration de l'installation.

C:\Program Files (x86)\Windows Kits\10\bin\10.0.17763.0\x86\MsiInfo.exe "D:\tools\MSI Center EOP\t& calc.exe &\Release\t& calc.exe &.msi" -w 10

Étapes de l'élévation de privilèges

1. Avec un utilisateur à faibles privilèges, créez et installez le programme avec le payload comme nom de programme.

2. Relancez le poc mais pointez le lien vers C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\calc.bat

3. Observez que notre payload a été inclus dans la sortie.

4. En abusant des fonctionnalités d'exécution automatique, lorsqu'un administrateur se connecte, nous pouvons le tromper pour exécuter du code arbitraire.

Impact

Une exploitation réussie de cette vulnérabilité permet à un utilisateur à faibles privilèges d'écraser ou de supprimer arbitrairement des fichiers système critiques, conduisant à une potentielle élévation de privilèges. Cela pourrait entraîner un compromis total du système.

Référence

https://csr.msi.com/global/product-security-advisories

Remarque

Une nouvelle version (2.0.38.0) a été publiée le 3/7/2024 et corrige la vulnérabilité.