CVE-2024-37726 MSI Center स्थानीय विशेषाधिकार वृद्धि - मनमानी फ़ाइल ओवरराइट भेद्यता

भेद्यता सारांश

Windows OS पर MSI Center संस्करण <= 2.0.36.0 में एक स्थानीय विशेषाधिकार वृद्धि भेद्यता की पहचान की गई है, जो एक निम्न-विशेषाधिकार प्राप्त उपयोगकर्ता को सिस्टम पर उच्च-विशेषाधिकार और महत्वपूर्ण फ़ाइलों को मनमाने ढंग से ओवरराइट या हटाने की अनुमति देती है। यह भेद्यता MSI Center एप्लिकेशन के NT AUTHORITY\SYSTEM विशेषाधिकारों के साथ चलने और फ़ाइल को निम्न-विशेषाधिकार उपयोगकर्ता-नियंत्रित निर्देशिका में लिखने के कारण होती है, जो निम्न-विशेषाधिकार उपयोगकर्ता को symlink के साथ फ़ाइल सिस्टम में हेरफेर करने और एप्लिकेशन को मनमाने स्थानों पर फ़ाइलें लिखने या ओवरराइट करने के लिए धोखा देने की अनुमति देती है।

भेद्यता विवरण

भेद्यता तब ट्रिगर होती है जब एक निम्न-विशेषाधिकार प्राप्त उपयोगकर्ता एक निर्देशिका बनाता है और उस निर्देशिका के भीतर एक फ़ाइल पर OpLock सेट करता है। उपयोगकर्ता तब MSI Center में "Export System Info" फ़ंक्शन का उपयोग करके OpLocked फ़ाइल पर फ़ाइल लेखन ऑपरेशन ट्रिगर कर सकता है। जब OpLock सक्रिय होता है, तो उपयोगकर्ता मूल फ़ाइल को स्थानांतरित कर सकता है और लक्ष्य फ़ाइल के लिए एक जंक्शन बना सकता है, जिससे MSI Center एप्लिकेशन लक्ष्य फ़ाइल को SYSTEM विशेषाधिकारों के साथ ओवरराइट या हटा सकता है।

पुनरुत्पादन के चरण

1. एक निर्देशिका बनाएं जिसमें एक एकल फ़ाइल हो (जैसे, C:\Users\Public\eop\12345.txt).
2. फ़ाइल 12345.txt पर OpLock सेट करें।
3. MSI Center में "Export System Info" फ़ंक्शन चुनें और फ़ाइल लेखन ऑपरेशन ट्रिगर करने के लिए OpLocked फ़ाइल चुनें।
4. MSI Center.exe और MSI.CentralServer.exe प्रक्रियाएं OpLock के कारण रुक जाएंगी।
5. निर्देशिका को खाली करने के लिए 12345.txt को स्थानांतरित करें।
6. मूल निर्देशिका से लक्ष्य स्थान (जैसे, GLOBAL\GLOBALROOT\RPC Control\12345.txt) के लिए एक जंक्शन बनाएं।
7. लक्ष्य स्थान से लक्ष्य फ़ाइल (जैसे, C:\Windows\lsasetup.log) के लिए एक प्रतीकात्मक लिंक बनाएं।
8. OpLock जारी करें।
9. प्रतीकात्मक लिंक हटाएं।
10. लक्ष्य फ़ाइल (जैसे, C:\Windows\lsasetup.log) हटा दी जाएगी और ओवरराइट कर दी जाएगी।

विशेषाधिकार वृद्धि

हम प्रोग्राम को एडमिन अधिकार के बिना बना और इंस्टॉल कर सकते हैं, इसे किसी भी स्थान पर इंस्टॉल कर सकते हैं जहां निम्न-विशेषाधिकार उपयोगकर्ता के पास लिखने की पहुंच हो। चूंकि आउटपुट में इंस्टॉल किए गए प्रोग्राम का नाम होता है, हम प्रोग्राम नाम का दुरुपयोग कर सकते हैं, परिणाम को C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\backdoor.bat पर लिख सकते हैं। जब भी कोई व्यवस्थापक लॉगिन करता है, वे हमारे पेलोड को निष्पादित करेंगे और विशेषाधिकार वृद्धि का कारण बनेंगे।

इंस्टॉलेशन की एडमिन आवश्यकता को हटाने के लिए MsiInfo.exe का उपयोग करना सुनिश्चित करें।

C:\Program Files (x86)\Windows Kits\10\bin\10.0.17763.0\x86\MsiInfo.exe "D:\tools\MSI Center EOP\t& calc.exe &\Release\t& calc.exe &.msi" -w 10

विशेषाधिकार वृद्धि के चरण

1. निम्न विशेषाधिकार उपयोगकर्ता के साथ, प्रोग्राम नाम के रूप में पेलोड के साथ प्रोग्राम बनाएं और इंस्टॉल करें।

2. poc को फिर से चलाएं लेकिन लिंक को C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\calc.bat पर इंगित करें।

3. देखा गया कि हमारा पेलोड आउटपुट में शामिल हो गया है।

4. ऑटोरन सुविधाओं का दुरुपयोग करके, जब कोई व्यवस्थापक लॉगिन करता है, तो हम उन्हें मनमाना कोड चलाने के लिए धोखा दे सकते हैं।

प्रभाव

इस भेद्यता के सफल शोषण से एक निम्न-विशेषाधिकार प्राप्त उपयोगकर्ता महत्वपूर्ण सिस्टम फ़ाइलों को मनमाने ढंग से ओवरराइट या हटा सकता है, जिससे विशेषाधिकारों में संभावित वृद्धि हो सकती है। इसका परिणाम सिस्टम का पूर्ण समझौता हो सकता है।

संदर्भ

https://csr.msi.com/global/product-security-advisories

टिप्पणी

एक नया संस्करण (2.0.38.0) 7 मार्च 2024 को जारी किया गया है और इसने भेद्यता को ठीक कर दिया है।