Description

Le programme PoC exploite le pilote IMFForceDelete qui expose un ioctl permettant à des utilisateurs non privilégiés de supprimer des fichiers et des dossiers. Nous pouvons transformer cela en une élévation de privilèges en utilisant une technique expliquée par ZDI et Halov, qui exploite le mécanisme de rollback MSI conçu pour maintenir l'intégrité du système en cas de problème. En le supprimant et en le recréant avec une DACL faible ainsi que de faux fichiers RBF et RBS, nous pouvons obtenir la capacité d'effectuer des modifications arbitraires sur le système en tant que NT AUTHORITY\SYSTEM.

VID

Aucune idée si c'est corrigé ou non. Au moment de la publication du PoC, ce n'était toujours pas corrigé. La suppression arbitraire de fichiers/dossiers avait déjà été signalée par un autre chercheur et était connue du fournisseur, qui ne l'a pas corrigée ; je l'ai seulement fait passer d'un bug pas très intéressant à un bug bien plus intéressant avec un impact plus élevé, voir le write-up ci-dessous.