CVE-2024-54910

https://www.cve.org/CVERecord?id=CVE-2024-54910

यह दस्तावेज़ एक ऐसी कमजोरी की खोज करता है जो मनमाने फ़ाइल लेखन की अनुमति देती है, जिससे Windows सिस्टम पर विशेषाधिकार वृद्धि (privilege escalation) होती है जिसमें Hasleo Backup Suite Free <= 4.9.4 स्थापित है। यह प्रदर्शित करता है कि बैकअप पुनर्प्राप्ति संचालन, प्रतीकात्मक लिंक (symbolic links) और निम्न-विशेषाधिकार वाले उपयोगकर्ता संचालन के साथ मिलकर, महत्वपूर्ण सिस्टम फ़ाइलों को अधिलेखित (overwrite) कर सकते हैं या संवेदनशील निर्देशिकाओं में दुर्भावनापूर्ण निष्पादन योग्य फ़ाइलें रख सकते हैं, जिससे हमलावर प्रशासनिक पहुंच प्राप्त कर सकते हैं। यह पद्धति दो चरणों में विभाजित है: फ़ाइल लेखन कमजोरी का शोषण करना और Windows स्टार्टअप फ़ोल्डर में दुर्भावनापूर्ण पेलोड रखकर विशेषाधिकारों को बढ़ाना।

प्रभावित संस्करण: Hasleo Backup Suite Free <= 4.9.4

होस्ट विशिष्टताएँ: Microsoft Windows 10 Pro 64-bit 10.0.19045

मनमाना फ़ाइल लेखन (Arbitrary File Write) बैकअप पुनर्प्राप्त करते समय फ़ाइल अनुमतियों का परीक्षण करते हुए, मैंने देखा कि फ़ाइल प्रशासक विशेषाधिकारों के साथ जहाँ भी हम निर्दिष्ट करते हैं वहाँ जाती है, फ़ाइल का पूरा पथ बनाते हुए, जैसे C+\बाकीपथ। हम प्रत्येक चरण को निम्न-विशेषाधिकार वाले उपयोगकर्ता के रूप में विकसित करेंगे।

पुनरुत्पादन के चरण:

• पहले, हम फ़ाइल को C:\Temp में बनाते हैं
• उसके बाद, हम इस फ़ाइल से "little" उपयोगकर्ता के रूप में एक नया बैकअप बनाते हैं। हम फ़ाइल को C:\Temp में भी रखते हैं, लेकिन इससे वास्तव में कोई फर्क नहीं पड़ता।
• अब, हम C:\ में बनाए गए एक खाली फ़ोल्डर में एक प्रतीकात्मक लिंक बना रहे हैं, क्योंकि C:\ में फ़ोल्डर बनाने के लिए हमें प्रशासक होने की आवश्यकता नहीं है। फ़ोल्डर C:\C+ होगा
• हम सिमलिंक खोलते हैं: C:\SymbolicLinks\CreateSumlink.exe C:\C+\Temp\Copyme.txt C:\Windows\Copyme.txt
• अब, हम बनाए गए बैकअप को पुनर्प्राप्त करना चाहते हैं। हम उस फ़ाइल का चयन करते हैं जिसे हम C:\Windows पर लिखना चाहते हैं और आउटपुट पथ को C:\ में बदलते हैं (बटन क्लिक करने से पहले, आइए प्रशासक के रूप में C:\Windows में "I'm not vulnerable" सामग्री वाली एक Copyme.txt फ़ाइल बनाएं)
• उसके बाद, हम अगला बटन क्लिक करते हैं। हमने अब प्रशासक के रूप में बनाई गई फ़ाइल को सफलतापूर्वक अधिलेखित कर दिया है

अपने विशेषाधिकारों को बढ़ाने के लिए, हम उदाहरण के लिए Windows स्टार्टअप फ़ोल्डर में एक निष्पादन योग्य फ़ाइल रख सकते हैं:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hasleo Backup Suite>C:\SymbolicLinks\CreateSymlink.exe C:\C+\Temp\pwned.exe "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe"

Opened Link \RPC Control\pwned.exe -> ??\C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe: 00000138 Press ENTER to exit and delete the symlink