ADManager Plus Build < 7230 Élévation de privilèges (CVE-2025-9435)

Prérequis

Un utilisateur technicien disposant du rôle « Modifier les propriétés générales de l'utilisateur » et d'un accès par ouverture de session au serveur sur lequel ADManager est installé.

Description

Si l'utilisateur technicien dispose de droits d'ouverture de session sur le serveur, il peut élever ses privilèges vers le compte de service ou le compte utilisateur qui exécute ADManager avec des privilèges élevés. L'utilisateur peut créer un répertoire arbitraire via l'application Web, puis copier un fichier DLL dans ce répertoire. Lorsqu'ADManager est redémarré, le fichier DLL est exécuté avec les privilèges de l'utilisateur qui exécute ADManager.

Preuve de concept

1. Connectez-vous en tant qu'utilisateur technicien et cliquez sur Profile Attributes.
2. Sélectionnez « Home folder » et la case « Connect », puis saisissez un chemin réseau arbitraire. Entrez ensuite le nom de l'utilisateur technicien connecté et cliquez sur rechercher.
3. Interceptez la requête avec BurpSuite et définissez la valeur ....\\jre\\lib\\ext\\amd64 pour le paramètre homeDirectory, puis transmettez la requête.
4. Sélectionnez l'utilisateur technicien et cliquez sur « Apply ».
5. Un répertoire nommé amd64 sera créé sous le répertoire C:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext. L'utilisateur technicien dispose d'un contrôle total (Full control) sur le répertoire amd64.
6. Créez un fichier DLL malveillant sunmscapi.dll ou sunec.dll (ce DLL pourrait empêcher l'application ADManager Plus de démarrer) pour obtenir un reverse shell.
7. Connectez-vous au serveur où ADManager est installé en tant qu'utilisateur technicien. Copiez les fichiers DLL vers C:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext\amd64. Dans des conditions normales, l'utilisateur ne peut pas copier de fichiers sous le répertoire C:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext\ en raison de privilèges insuffisants. Cependant, l'utilisateur obtient un droit d'écriture dans le répertoire « amd64 » en exploitant la vulnérabilité de création de répertoires arbitraires et peut copier ces fichiers.
8. Après le redémarrage d'ADManager, le fichier DLL sera exécuté et un reverse shell sera obtenu avec des privilèges élevés.

Détails du PoC

https://docs.unsafe-inline.com/0day/admanager-plus-build-less-than-7230-elevation-of-privilege-vulnerability