CVE-2026-9789

ID CVE : CVE-2026-9789
Chercheur : Vo Duc Thang (ugvxb)
Remerciements : https://community.acer.com/en/kb/articles/19670
Vidéo POC : https://drive.google.com/file/d/1B8b42bE68CWMnlqG6eJWi0txGFsHAJZc/view?usp=sharing

1. Résumé exécutif

Une vulnérabilité critique d'élévation de privilèges locaux a été découverte dans le logiciel Acer NitroSense (PSAdminAgent.exe). La vulnérabilité permet à tout utilisateur local authentifié de supprimer des fichiers arbitraires avec les privilèges SYSTEM, ce qui peut entraîner un compromis complet du système via le contournement des logiciels de sécurité.

2. Détails de la vulnérabilité

2.1 Aperçu

Le service PSAdminAgent.exe crée un tube nommé avec une liste de contrôle d'accès (ACL) trop permissive qui permet à tout utilisateur authentifié de se connecter et d'envoyer des commandes. Le service traite les commandes de suppression de fichier sans valider les privilèges de l'appelant ni restreindre les chemins cibles. Étant donné que le service s'exécute avec les privilèges SYSTEM, cela permet à tout utilisateur local de supprimer des fichiers arbitraires en tant que SYSTEM.

2.2 Analyse des causes profondes

Problème 1 : ACL de tube nommé faible

Le tube nommé est créé avec la chaîne SDDL (Security Descriptor Definition Language) suivante :

D:(A;OICI;GA;;;BG)(D;OICI;GA;;;AN)(A;OICI;GRGWGX;;;AU)(A;OICI;GA;;;BA)

Décodé :

Problème 2 : Absence de validation du chemin

Le gestionnaire de commande delete_file transmet directement les chemins fournis par l'utilisateur à l'API Windows DeleteFileW sans aucune validation ni restriction.

Problème 3 : Absence d'authentification de l'appelant

Le service ne vérifie pas que le client connecté est une application Acer autorisée, ce qui permet à tout processus d'envoyer des commandes.

3. Commandes affectées

Sur la base de l'analyse par rétro-ingénierie, la commande suivante est confirmée exploitable :

3.1 Emplacements des fonctions vulnérables (PSAdminAgent.exe)

3.2 Emplacement de la chaîne SDDL

Adresse : 0x140059810

D:(A;OICI;GA;;;BG)(D;OICI;GA;;;AN)(A;OICI;GRGWGX;;;AU)(A;OICI;GA;;;BA)

3.3 Table de répartition des commandes

Adresse : 0x140057950

[0x00] -> 0x140009080
[0x01] -> 0x140009310
[0x02] -> 0x1400093a0
[0x03] -> 0x1400094e0  (delete_file) <- CONFIRMÉ VULNÉRABLE
[0x04] -> 0x140009610
[0x05] -> 0x1400097c0
...
[0x0E] -> 0x14000a950

3.4 Chemin de code vulnérable confirmé

PSAdminAgent.exe
    -> Tube nommé : \\.\pipe\PredatorSense_admin_agent_X
        -> Gestionnaire de commandes (0x140008d14)
            -> CMD 0x0003 : delete_file (0x1400094e0)
                -> DeleteFileW(chemin_fourni_par_utilisateur)  <- AUCUNE VALIDATION

4. Évaluation des risques

4.1 Score CVSS v4.0

5. Références

• CWE-732 : https://cwe.mitre.org/data/definitions/732.html
• CWE-284 : https://cwe.mitre.org/data/definitions/284.html
• CWE-22 : https://cwe.mitre.org/data/definitions/22.html
• CWE-269 : https://cwe.mitre.org/data/definitions/269.html

6. Avertissement

Cette preuve de concept (PoC) est destinée uniquement à des fins éducatives et de recherche en sécurité autorisée. L'auteur n'est pas responsable de toute utilisation abusive. L'exploitation sans autorisation est illégale.