CVE-2024-0670 – Élévation de privilèges locale dans l'agent CheckMK (PoC PowerShell)

Résumé

Ce dépôt présente une preuve de concept PowerShell indépendante pour CVE-2024-0670, une vulnérabilité d'élévation de privilèges locale Windows dans l'agent CheckMK. Cette vulnérabilité permet à un utilisateur local à faibles privilèges d'élever ses privilèges jusqu'à NT AUTHORITY\SYSTEM en exploitant l'exécution prévisible de fichiers de commandes lors d'un processus de réparation MSI.

Cette implémentation est une analyse dérivée du PoC publiquement disponible de elsevar11 dans CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit ; elle réutilise les concepts fondamentaux tout en proposant une logique d'exploitation simplifiée.

Référence originale :
https://github.com/elsevar11/CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit/blob/main/exploit.ps1

Résumé de la vulnérabilité

• Fournisseur : Tribe29 / CheckMK
• CVE : CVE-2024-0670
• Gravité : Élevée (CVSS 8.8)
• Type : Élévation de privilèges locale
• Cause racine : Chemin de recherche non contrôlé lors de la réparation MSI avec des fichiers contrôlés par l'attaquant.

Lors de la réparation MSI, l'installateur exécute des fichiers dans C:\Windows\Temp avec des noms prévisibles. Un utilisateur non privilégié peut pré-déposer des charges utiles contrôlées qui seront ensuite exécutées avec des privilèges élevés.

Contenu

Prérequis

• Machine Windows avec l'agent Windows CheckMK installé
• Compte utilisateur local non privilégié
• PowerShell (stratégie d'exécution autorisant l'exécution de scripts)
• Capacité d'écriture dans C:\Windows\Temp\
• Écouteur de shell inversé (optionnel, pour les charges utiles)

Configuration (exploit.ps1)

Ajustez les paramètres suivants selon vos besoins :

$LHOST  # Attacker IP
$LPORT  # Attacker port
$NcPath # Path to payload (e.g., nc.exe)
$MinPID # Lower bound for file seeding
$MaxPID # Upper bound for file seeding

Utilisation

1. Démarrez un écouteur sur votre hôte attaquant :

nc -lvnp <PORT>

2. Exécutez l'exploit depuis un compte à faibles privilèges :

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\exploit.ps1

Un shell SYSTEM sera renvoyé vers votre écouteur si l'exploitation réussit.

Attribution

L'approche d'exploitation — énumération des paquets MSI, pré-dépôt de noms de fichiers prévisibles et invocation d'une réparation MSI — s'inspire du PoC publié à l'origine par elsevar11 sur GitHub. Ce dépôt adapte cette logique dans une formulation PowerShell alternative pour plus de clarté et de reproductibilité de la recherche.

Avis légal

Ce code est fourni uniquement à des fins éducatives, d'ingénierie défensive et de tests autorisés. Toute utilisation contre des systèmes sans autorisation explicite est illégale. L'auteur décline toute responsabilité en cas d'utilisation abusive ou de conséquences juridiques.

Licence

Ce dépôt est publié sous la licence MIT.