CVE-2024-54910

https://www.cve.org/CVERecord?id=CVE-2024-54910

Ce document explore une vulnérabilité permettant des écritures arbitraires de fichiers, conduisant à une élévation de privilèges sur un système Windows sur lequel Hasleo Backup Suite Free <= 4.9.4 est installé. Il démontre comment les opérations de récupération de sauvegarde, combinées à des liens symboliques et à des opérations d'utilisateurs à faibles privilèges, peuvent écraser des fichiers système critiques ou placer des exécutables malveillants dans des répertoires sensibles, permettant aux attaquants d'obtenir un accès administratif. La méthodologie est divisée en deux phases : exploiter la vulnérabilité d'écriture de fichier et élever les privilèges en plaçant une charge utile malveillante dans le dossier de démarrage de Windows.

Version affectée : Hasleo Backup Suite Free <= 4.9.4

Spécifications de l'hôte : Microsoft Windows 10 Pro 64-bit 10.0.19045

Écriture arbitraire de fichier En testant les permissions de fichiers lors de la récupération d'une sauvegarde, j'ai remarqué que le fichier est écrit avec des privilèges administrateur à l'emplacement que nous spécifions, créant le chemin complet du fichier, comme C+\reste-du-chemin. Nous allons développer chaque étape en tant qu'utilisateur à faibles privilèges.

Étapes pour reproduire :

• Tout d'abord, nous créons le fichier dans C:\Temp
• Ensuite, nous créons une nouvelle sauvegarde de ce fichier en tant qu'utilisateur « little ». Nous plaçons également le fichier dans C:\Temp, mais cela n'a pas vraiment d'importance.
• Maintenant, nous créons un lien symbolique dans un dossier vide que nous avons créé dans C:, car nous n'avons pas besoin d'être administrateur pour créer des dossiers dans C:. Le dossier sera C:\C+
• Nous ouvrons le lien symbolique : C:\SymbolicLinks\CreateSumlink.exe C:\C+\Temp\Copyme.txt C:\Windows\Copyme.txt
• Maintenant, nous voulons récupérer la sauvegarde que nous avons faite. Nous sélectionnons le fichier que nous voulons écrire dans C:\Windows et modifions le chemin de sortie en C:\ (Avant de cliquer sur le bouton, créons en tant qu'administrateur un fichier Copyme.txt avec le contenu « Je ne suis pas vulnérable » dans C:\Windows)
• Ensuite, nous cliquons sur le bouton suivant. Nous avons maintenant réussi à écraser le fichier que nous avons créé en tant qu'administrateur

Afin d'élever nos privilèges, nous pourrions par exemple placer un exécutable dans le dossier de démarrage de Windows :

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hasleo Backup Suite>C:\SymbolicLinks\CreateSymlink.exe C:\C+\Temp\pwned.exe "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe"

Opened Link \RPC Control\pwned.exe -> ??\C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe: 00000138 Press ENTER to exit and delete the symlink