CVE-2024-43583 - Exploitation d'élévation de privilèges Windows

Auteur : No0B@ckSappi3 Instagram : No0BackSappi3

Aperçu

CVE-2024-43583 est une vulnérabilité d'élévation de privilèges affectant le composant Winlogon de Microsoft. L'exploitation de cette faille permet à un utilisateur à faibles privilèges d'élever ses privilèges à SYSTEM, entraînant une compromission totale du système.

Cette preuve de concept (PoC) exploite le Détournement de débogueur via la clé de registre Windows Options d'exécution de fichier image (IFEO) pour remplacer un processus système légitime par une charge utile malveillante.

Versions Windows affectées

Versions Windows affectées

Windows 10 (1507 - 22H2) Windows 11 (21H2 - 24H2) Windows Server 2008 SP2 - 2022

⚠️ Avertissement

Cet exploit est à des fins éducatives et de recherche uniquement. Ne l'utilisez pas sur des systèmes non autorisés. Une mauvaise utilisation de cet exploit peut être illégale.

Utilisation de l'exploit

Configuration

Assurez-vous que Python est installé sur le système cible. Sinon, utilisez la version compilée .exe.

Exécution de l'exploit

Option 1 : Exécution directe depuis un utilisateur à faibles privilèges

python poc-43583.py

Option 2 : Exécution via le Planificateur de tâches

1. Créer une tâche planifiée : (Exécuter en tant qu'administrateur)
   root@kitploit:~

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. Exécuter la tâche :
   root@kitploit:~

   schtasks /run /tn "LowPrivExploit"
   

3. Déclencher l'exploit : Ouvrez le Gestionnaire de tâches (Ctrl + Maj + Échap). En cas de succès, un shell SYSTEM apparaîtra à la place.

** Vérification de l'élévation de privilèges**

Une fois l'exploit exécuté, vérifiez vos privilèges :

whoami

Sortie attendue :

nt authority\system

🛠️ Nettoyage

Méthode 1 : Utiliser la PoC pour restaurer les valeurs par défaut

Réexécutez le script et sélectionnez l'option [2] pour supprimer le détournement.

Méthode 2 : Supprimer manuellement la clé de registre

1. Ouvrez l'invite de commandes administrateur.
2. Exécutez :
   root@kitploit:~

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. Supprimer la tâche planifiée (si utilisée) :
   root@kitploit:~

   schtasks /delete /tn "LowPrivExploit" /f
   

Détection et atténuation

• Vérifier les clés de débogueur inattendues :
  root@kitploit:~

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• Activer la protection contre les falsifications de Windows Defender pour empêcher les modifications du registre.
• Utiliser des solutions EDR/SIEM pour détecter les modifications non autorisées du registre.

📝 Références

• Avis de sécurité Microsoft
• Guide de développement d'exploit