alexlee820/cve-2025-63945-tencent-ioa-eop
संस्करण : 210.9.28693.62001 से पहले
सारांश: मैंने Tencent PC Manager में एक भेद्यता खोजी है जहाँ C:\Windows\Temp के अंतर्गत फ़ाइलों और निर्देशिकाओं को असुरक्षित रूप से संभाला जाता है। एक हमलावर सिम्बोलिक लिंक (symlink) हमलों का लाभ उठाकर SYSTEM-विशेषाधिकार वाली प्रक्रिया को मनमानी फ़ाइलें हटाने के लिए मजबूर कर सकता है, जिसके परिणामस्वरूप स्थानीय विशेषाधिकार उन्नयन होता है। विशेष रूप से, “ioa” घटक का उपयोग करते समय LegacyKB_ioa_win.exe नामक एक प्रक्रिया समय-समय पर प्रारंभ होती है। संचालन के दौरान, यह Temp फ़ोल्डर के अंतर्गत TencentDownload निर्देशिका बनाती है, उसमें फ़ाइलें डाउनलोड करती है, और बाद में SYSTEM के रूप में विलोपन करती है। अपर्याप्त पथ सत्यापन और असुरक्षित विलोपन तर्क के कारण, इस व्यवहार का दुरुपयोग SYSTEM विशेषाधिकारों के साथ हमलावर द्वारा चुनी गई फ़ाइलों को हटाने के लिए किया जा सकता है।
यह देखा गया कि प्रक्रिया "LegacyKB_*.exe" SYSTEM विशेषाधिकार के साथ निम्नलिखित करेगी :
जब कोई नया संस्करण या हॉटफिक्स उपलब्ध होता है, तो iOA घटक इंटरनेट से Legacy_*.exe डाउनलोड करता है और निष्पादित करता है।
Legacy_*.exe C:\Windows\Temp के अंतर्गत TencentDownload निर्देशिका की उपस्थिति की जाँच करता है; यदि यह मौजूद नहीं है, तो इसे बनाता है।
Legacy_*.exe TencentDownload के अंदर टिल्ड उपसर्ग (जैसे, ~) वाली एक उपनिर्देशिका बनाता है।
अंत में, Legacy_.exe TencentDownload के अंदर ~ उपनिर्देशिका को हटाने के लिए SYSTEM विशेषाधिकारों का उपयोग करता है।
चूँकि "C:\Windows\Temp\TencentDownload" निर्देशिका वर्तमान उपयोगकर्ता द्वारा बनाई जा सकती है और वर्तमान उपयोगकर्ता के लिए "Modify" विशेषाधिकार के साथ निर्दिष्ट की जा सकती है, इसलिए वर्तमान उपयोगकर्ता पूरी निर्देशिका को संशोधित और पढ़ सकता है। इस सेटअप के साथ, एक अन-विशेषाधिकार प्राप्त उपयोगकर्ता एक विशेषाधिकार प्राप्त स्थान (जैसे, C:\Windows\System32) के लिए सिम्बोलिक लिंक बनाकर मनमानी फ़ाइल विलोपन प्राप्त करने में सक्षम होता है। इसके अलावा, एक दुर्भावनापूर्ण उपयोगकर्ता मनमानी फ़ाइल/फ़ोल्डर विलोपन से स्थानीय विशेषाधिकार उन्नयन प्राप्त कर सकता है।
मनमानी फ़ाइल/फ़ोल्डर विलोपन द्वारा LPE करने के लिए , उपयोगकर्ता निम्नलिखित चरणों का पालन कर सकता है:
उपयोगकर्ता फ़ोल्डर "C:\Windows\Temp\TencentDownload" बनाता है
जैसे ही हम किसी भी ~ उपसर्ग फ़ोल्डर को बनते हुए देखते हैं, उपयोगकर्ता फ़ोल्डर "C:\Windows\Temp\TencentDownload~*" पर OpLock सेट करता है
प्रक्रिया "Legacy_.exe" SYSTEM विशेषाधिकार के साथ फ़ोल्डर "C:\Windows\Temp\TencentDownload~" को हटाने का प्रयास करेगी।
प्रक्रिया "Legacy_*.exe" OpLock के कारण रोक दी जाएगी
जब OpLock ट्रिगर होता है, उपयोगकर्ता फ़ोल्डर को खाली करने के लिए फ़ाइल "C:\Windows\Temp\TencentDownload~*" को कहीं और स्थानांतरित करता है
उपयोगकर्ता जंक्शन "C:\Windows\Temp\TencentDownload" को "\RPC Control" पर बनाता है
उपयोगकर्ता लक्ष्य फ़ोल्डर/फ़ाइल (जैसे, C:\Windows\System32\secrets) के लिए सिम्बोलिक लिंक "GLOBAL\GLOBALROOT\RPC Control~*" बनाता है
उपयोगकर्ता OpLock जारी करता है
उपयोगकर्ता सिम्बोलिक लिंक हटाता है
लक्ष्य फ़ाइल/फ़ोल्डर (जैसे, C:\Windows\System32\secrets) हटा दिया जाएगा
PoC वीडियो :https://drive.google.com/file/d/1RXQgaNBDeopurcP63xmhMXDM7stHaIzO/view?usp=sharing
