CVE-2025-63945 Tencent iOA EoP

Versione : prima della 210.9.28693.62001

Riepilogo: ho scoperto una vulnerabilità in Tencent PC Manager in cui i file e le directory sotto C:\Windows\Temp vengono gestiti in modo non sicuro. Un attaccante può sfruttare attacchi tramite collegamenti simbolici (symlink) per indurre un processo con privilegi SYSTEM a eliminare file arbitrari, con conseguente escalation locale dei privilegi. Nello specifico, un processo denominato LegacyKB_ioa_win.exe viene avviato periodicamente quando si utilizza il componente "ioa". Durante il funzionamento, crea una directory TencentDownload nella cartella Temp, scarica file al suo interno e successivamente esegue eliminazioni come SYSTEM. A causa di una validazione insufficiente dei percorsi e di una logica di eliminazione non sicura, questo comportamento può essere abusato per eliminare file scelti dall'attaccante con privilegi SYSTEM.

È stato osservato che il processo "LegacyKB_*.exe" esegue le seguenti operazioni con privilegi SYSTEM :

1. Quando è disponibile una nuova versione o un hotfix, il componente iOA scarica ed esegue un file Legacy_*.exe da Internet.

2. Legacy_*.exe verifica la presenza della directory TencentDownload sotto C:\Windows\Temp; se non esiste, la crea.

3. Legacy_*.exe crea una sottodirectory con un prefisso tilde (ad es. ~) all'interno di TencentDownload.

4. Alla fine, Legacy_.exe utilizza i privilegi SYSTEM per eliminare la sottodirectory ~ all'interno di TencentDownload.

Poiché la directory "C:\Windows\Temp\TencentDownload" può essere creata dall'utente corrente e le viene assegnato il privilegio "Modify" per l'utente corrente, l'utente corrente può modificare e leggere l'intera directory. Con questa configurazione, un utente non privilegiato è in grado di ottenere l'eliminazione arbitraria di file creando un collegamento simbolico a una posizione privilegiata (ad es. C:\Windows\System32). Inoltre, un utente malintenzionato può ottenere l'escalation locale dei privilegi tramite l'eliminazione arbitraria di file/cartelle.

Per eseguire la LPE tramite l'eliminazione arbitraria di file/cartelle , l'utente può seguire i seguenti passaggi:

1. L'utente crea la cartella "C:\Windows\Temp\TencentDownload"

2. L'utente imposta un OpLock sulla cartella "C:\Windows\Temp\TencentDownload~*" una volta osservato che è stata creata una cartella con prefisso ~

3. Il processo "Legacy_.exe" tenterà di rimuovere la cartella "C:\Windows\Temp\TencentDownload~" con privilegi SYSTEM.

4. Il processo "Legacy_*.exe" verrà sospeso a causa dell'OpLock

5. Quando l'OpLock viene attivato, l'utente sposta il file "C:\Windows\Temp\TencentDownload~*" altrove per svuotare la cartella

6. L'utente crea un junction "C:\Windows\Temp\TencentDownload" verso "\RPC Control"

7. L'utente crea un collegamento simbolico "GLOBAL\GLOBALROOT\RPC Control~*" alla cartella/file di destinazione (ad es. C:\Windows\System32\secrets)

8. L'utente rilascia l'OpLock

9. L'utente elimina il collegamento simbolico

10. Il file/cartella di destinazione (ad es. C:\Windows\System32\secrets) verrebbe eliminato

Video PoC :https://drive.google.com/file/d/1RXQgaNBDeopurcP63xmhMXDM7stHaIzO/view?usp=sharing