ADManager Plus बिल्ड < 7230 में विशेषाधिकार उन्नयन (CVE-2025-9435)

आवश्यकताएँ

एक तकनीशियन उपयोगकर्ता जिसके पास 'Modify user general properties' भूमिका और उस सर्वर पर लॉगऑन पहुँच हो जहाँ ADManager स्थापित है।

विवरण

यदि तकनीशियन उपयोगकर्ता के पास सर्वर पर लॉगऑन अधिकार हैं, तो वे सेवा खाते या उस उपयोगकर्ता खाते के विशेषाधिकारों को बढ़ा सकते हैं जो उच्च विशेषाधिकारों के साथ ADManager चलाता है। उपयोगकर्ता वेब एप्लिकेशन के माध्यम से एक मनमाना निर्देशिका बना सकता है और फिर इस निर्देशिका में एक DLL फ़ाइल कॉपी कर सकता है। जब ADManager पुनः प्रारंभ होता है, तो DLL फ़ाइल ADManager चलाने वाले उपयोगकर्ता के विशेषाधिकारों के साथ निष्पादित होती है।

प्रूफ ऑफ कॉन्सेप्ट

1. तकनीशियन उपयोगकर्ता के रूप में लॉग इन करें और Profile Attributes पर क्लिक करें।
2. “Home folder” और “Connect” बॉक्स चुनें, एक मनमाना नेटवर्क पथ टाइप करें। फिर लॉग इन किए गए तकनीशियन उपयोगकर्ता का नाम दर्ज करें और खोज पर क्लिक करें।
3. BurpSuite से अनुरोध कैप्चर करें और homeDirectory पैरामीटर में ....\\jre\\lib\\ext\\amd64 मान सेट करें और अनुरोध अग्रेषित करें।
4. तकनीशियन उपयोगकर्ता चुनें और “Apply” पर क्लिक करें।
5. C:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext निर्देशिका के अंतर्गत amd64 नामक एक निर्देशिका बनाई जाएगी। तकनीशियन उपयोगकर्ता के पास amd64 निर्देशिका पर Full control है।
6. रिवर्स शेल प्राप्त करने के लिए दुर्भावनापूर्ण sunmscapi.dll या sunec.dll (यह DLL ADManager Plus एप्लिकेशन को प्रारंभ होने में विफल कर सकता है) DLL फ़ाइल बनाएँ।
7. तकनीशियन उपयोगकर्ता के रूप में उस सर्वर में लॉग इन करें जहाँ ADManager स्थापित है। DLL फ़ाइलों को C:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext\amd64 में कॉपी करें। सामान्य परिस्थितियों में, अपर्याप्त विशेषाधिकार के कारण उपयोगकर्ता C:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext\ निर्देशिका के अंतर्गत फ़ाइलें कॉपी नहीं कर सकता। हालांकि, उपयोगकर्ता मनमानी निर्देशिका निर्माण भेद्यता का शोषण करके “amd64” निर्देशिका के अंतर्गत लेखन अधिकार प्राप्त करता है और इन फ़ाइलों को कॉपी कर सकता है।
8. ADManager पुनः प्रारंभ होने के बाद, DLL फ़ाइल निष्पादित होगी और उच्च विशेषाधिकारों के साथ रिवर्स शेल प्राप्त होगा।

PoC विवरण

https://docs.unsafe-inline.com/0day/admanager-plus-build-less-than-7230-elevation-of-privilege-vulnerability