wh04m1001/sysmoneopPoC pour CVE-2022-41120/CVE-2022-44704 : suppression/écriture arbitraire de fichiers dans Sysmon via ClipboardChange RPC conduisant à une élévation de privilèges locale sur Windows.
Preuve de concept pour la suppression/écriture arbitraire de fichiers dans Sysmon (CVE-2022-41120/CVE-2022-44704)
La vulnérabilité se trouve dans le code responsable de l'événement ClipboardChange qui peut être atteint via RPC. Les utilisateurs locaux peuvent envoyer des données au serveur RPC, qui seront ensuite écrites dans le répertoire C:\Sysmon (ArchiveDirectory par défaut) puis supprimées. Dans les versions antérieures à 14.11, Sysmon ne vérifiait pas si le répertoire avait été créé par un utilisateur à faibles privilèges ou s'il s'agissait d'une jonction, ce qui peut être exploité pour effectuer une suppression/écriture arbitraire de fichiers (un peu limité car on ne peut écrire que des chaînes de caractères) dans le contexte de l'utilisateur NT AUTHORITY\SYSTEM. Dans les versions 14.11/14.12, après le correctif initial, Sysmon vérifiait si le répertoire existait et refusait d'écrire/supprimer des fichiers si le répertoire existait. Ce correctif a été contourné en laissant Sysmon créer d'abord le répertoire C:\Sysmon (à l'aide de l'API CreateDirectory) et en ouvrant un handle sur celui-ci avant que SetFileSecurity soit appelé, puis en modifiant les DACL sur le répertoire C:\Sysmon.
Tous les tests ont été effectués sur Windows 10.
Dans mon PoC, j'ai enchaîné la suppression/écriture arbitraire de fichiers pour d'abord supprimer le fichier d'informations d'installation du pilote d'imprimante, puis écrire un fichier .INF modifié (car le service Spooler est activé par défaut et les utilisateurs à faibles privilèges peuvent réinstaller les pilotes d'imprimante sur les clients Windows). Les fichiers d'informations d'installation peuvent être détournés pour effectuer toutes sortes d'opérations, telles que la création de services, la modification du registre, la copie de fichiers, etc. J'ai choisi de copier certaines DLL par défaut de l'imprimante dans c:\windows\system32 et d'y définir des permissions afin que les utilisateurs à faibles privilèges puissent les modifier ; cela est effectué à l'aide de la directive CopyFiles (https://learn.microsoft.com/en-us/windows-hardware/drivers/install/inf-copyfiles-directive). Une fois le fichier copié, celui-ci est remplacé par une DLL qui lancera un processus cmd.exe avec des privilèges élevés. Il est possible d'exploiter la simple suppression arbitraire de fichiers pour une élévation de privilèges (LPE) en abusant du comportement de Windows Installer (astuce trouvée par @KLINIX5 et documentée par ZDI ici https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks).
Tous les tests ont été effectués sur les versions 13.34-14.12. Je ne connais pas exactement la version la plus ancienne vulnérable, mais je pense que les versions 12.0 - 14.12 sont vulnérables, car l'événement ClipboardChange a été introduit dans la version 12.0. Pour exploiter cette vulnérabilité, les événements qui utilisent ArchiveDirectory ne doivent pas être activés (ClipboardChange et FileDelete, je crois), car si ces deux événements sont utilisés, ArchiveDirectory sera créé et disposera de permissions sécurisées.
Si vous utilisez une version vulnérable et ne pouvez pas la mettre à jour, vous pouvez créer ArchiveDirectory (C:\Sysmon par défaut) et définir des permissions qui n'autoriseront l'accès qu'au compte NT AUTHORITY\SYSTEM.
