MAL-002: Forcer le redémarrage du système via les MSI Windows installés

Une fois qu'un logiciel est installé avec succès sur le système, un ou plusieurs fichiers MSI fiables apparaîtront dans le dossier “C:\Windows\Installer” et peuvent permettre à un utilisateur à faibles privilèges d'effectuer des actions “réparer” et/ou “modifier” en tant qu'utilisateur “NT Authority\System” sans nécessiter UAC. En utilisant le programme “msiexec.exe” avec l'indicateur “/forcerestart”, si un attaquant parvient à effectuer l'action “réparer”, le système cible sera redémarré.

Note: Plusieurs MSI peuvent nécessiter une authentification administrateur même pour la procédure de réparation, mais il s'agit généralement de l'exception, pas de la norme (par exemple, Vmware Tools).

Cas d'utilisation:

Le redémarrage d'un serveur Windows en tant qu'utilisateur à faibles privilèges peut être utile lorsque:

• Effectuer des attaques locales d'élévation de privilèges qui peuvent faire planter un service (par exemple, des attaques par débordement de tampon), afin de forcer le redémarrage du service concerné s'il devient non réactif
• Modifier/écrire un fichier de configuration, une DLL et/ou un exécutable nécessitant le redémarrage d'un service/du système pour que les modifications prennent effet (par exemple, attaque de l'ordre de recherche des DLL)
• DoS potentiel en redémarrant continuellement la cible

Pourquoi pas de CVE?

Ni Microsoft ni moi ne considérons ceci comme une vulnérabilité à fort impact en soi, donc aucun CVE n'était nécessaire.

Cela dit, je trouve la vulnérabilité plutôt intéressante et j'espère qu'elle sera utile à quelqu'un qui tombera sur ce dépôt.

Prérequis:

Cette vulnérabilité nécessite:

• Un accès local au système cible
• Un ou plusieurs MSI utilisables installés sur la cible

Preuve de concept:

Plus de détails et le processus d'exploitation se trouvent dans ce PDF.

Chronologie:

• Cette vulnérabilité a été initialement signalée à https://msrc.microsoft.com/ le 18 mai 2022
• La vulnérabilité a été considérée comme sans objet
• La vulnérabilité a été retestée le 23 janvier 2024 et il a été constaté qu'elle fonctionne toujours sur les versions les plus récentes de Windows 11 (OS Build: 22621.3007)
• La vulnérabilité a été divulguée publiquement le 3 février 2024