CVE-2024-27518 - SUPERAntiSpyware Professional X LPE PoC

यह कमजोरी M. Akil Gündoğdan द्वारा Secunnix Vulnerability Research Team से खोजी और प्रकट की गई थी। यह रिपॉजिटरी प्रूफ-ऑफ-कॉन्सेप्ट और सलाहकार रखेगी।

विवरण:

• उत्पाद: SUPERAntiSpyware Professional X और सभी संस्करण।
• प्रभावित संस्करण: <=10.0.1262 और नवीनतम संस्करण 10.0.1264
• CVE आईडी: CVE-2024-27518
• ऑपरेटिंग सिस्टम: सभी समर्थित विंडोज संस्करण, विंडोज 10 प्रो पर परीक्षण किया गया
• स्थिति: सार्वजनिक जिम्मेदार प्रकटीकरण।
• रिलीज़ दिनांक: 03.04.2024

कमजोरी विवरण:

SUPERAntiSpyware Professional X 10.0.1262 स्थानीय विशेषाधिकार वृद्धि के लिए कमजोर है क्योंकि यह गैर-विशेषाधिकार प्राप्त उपयोगकर्ताओं को एक NTFS निर्देशिका जंक्शन के माध्यम से "C:\Program Files\SUPERAntiSpyware" फ़ोल्डर में क्वारंटाइन से एक दुर्भावनापूर्ण DLL को पुनर्स्थापित करने की अनुमति देता है, जैसा कि एक तैयार version.dll फ़ाइल द्वारा प्रदर्शित किया गया है जो मैलवेयर के रूप में पता लगाया जाता है। चूंकि SASCore64.exe में "version.dll" के लिए DLL हाइजैकिंग कमजोरी है, सिस्टम रीबूट के बाद NT AUTHORITY\SYSTEM के रूप में एक शेल प्राप्त होता है।

तकनीकी विवरण और चरण दर चरण प्रूफ ऑफ कॉन्सेप्ट (PoC):

• 1 - ​एक दुर्भावनापूर्ण version.dll फ़ाइल जिसमें शेलकोड होता है, बनाई जाती है।
• 2 - यदि उत्पन्न शेलकोड युक्त version.dll पहले से SUPERAntiSpyware द्वारा पता नहीं लगाया गया है, तो इसे दुर्भावनापूर्ण के रूप में पता लगाने के लिए कमांड copy /b version_created.dll + malicious.zip version.dll के साथ ".zip" में एक और दुर्भावनापूर्ण फ़ाइल के साथ जोड़ा जाता है। इस प्रकार, बनाई गई ".dll" फ़ाइल SUPERAntiSpyware द्वारा दुर्भावनापूर्ण के रूप में पता लगाई जा सकती है और क्वारंटाइन की जा सकती है।
• 3 - एक नया फ़ोल्डर बनाएं और तैयार version.dll को उसमें कॉपी करें। फिर फ़ोल्डर को स्कैन किया जाता है और SUPERAntiSpyware DLL को क्वारंटाइन करता है।
• 4 - Google द्वारा प्रदान किए गए "Symbolic Link Testing" उपकरणों में से CreateMountPoint.exe का उपयोग करके, जहां version.dll क्वारंटाइन किया गया है वह पथ C:\Program Files\SUPERAntiSpyware निर्देशिका में माउंट किया जाता है। ये उपकरण निम्नलिखित लिंक पर उपलब्ध हैं (https://github.com/googleprojectzero/symboliclink-testing-tools) या आप वही काम करने के लिए mklink कमांड का उपयोग कर सकते हैं।
• 5 - जब क्वारंटाइन किया गया "version.dll" पुनर्स्थापित किया जाता है, तो यह SUPERAntiSpyware की निर्देशिका में कॉपी हो जाएगा। सिस्टम रीबूट करने के बाद, SASCore64.exe "version.dll" में शेलकोड निष्पादित करेगा और हमलावर के लिए NT AUTHORITY\SYSTEM विशेषाधिकारों के साथ एक सत्र खोलेगा।

वीडियो:

शमन उपाय:

दुर्भाग्य से, यह उपलब्ध नहीं है। हम कमजोरी ठीक होने तक SUPERAntiSpyware को अनइंस्टॉल करने की सलाह देते हैं।

समयरेखा:

• 18.02.2024 - कमजोरी ईमेल के माध्यम से रिपोर्ट की गई लेकिन विक्रेता ने इसे ठीक करने से इनकार कर दिया।
• 03.04.2024 - पूर्ण प्रकटीकरण।

संदर्भ:

• विक्रेता: https://www.superantispyware.com/
• CVE: https://www.cve.org/CVERecord?id=CVE-2024-27518