CVE-2024-54910

https://www.cve.org/CVERecord?id=CVE-2024-54910

Questo documento esplora una vulnerabilità che consente scritture arbitrarie di file, portando all'escalation dei privilegi su un sistema Windows che ha installato Hasleo Backup Suite Free <= 4.9.4. Dimostra come le operazioni di ripristino dei backup, combinate con link simbolici e operazioni di utenti a bassi privilegi, possano sovrascrivere file critici di sistema

o collocare eseguibili dannosi in directory sensibili, consentendo agli attaccanti di ottenere accesso amministrativo. La metodologia è suddivisa in due fasi: sfruttare la vulnerabilità di scrittura dei file ed escalare i privilegi collocando un payload dannoso nella cartella di avvio di Windows.

Versione interessata: Hasleo Backup Suite Free <= 4.9.4

Specifiche del sistema host: Microsoft Windows 10 Pro 64-bit 10.0.19045

Scrittura Arbitraria di File Testando i permessi dei file durante il ripristino di un backup, ho notato che il file viene scritto con privilegi amministrativi ovunque specifichiamo, creando il percorso completo del file, come C+\restodelpercorso. Svilupperemo ogni passaggio come utente a bassi privilegi.

Passaggi per la riproduzione:

• Per prima cosa, creiamo il file in C:\Temp
• Successivamente, creiamo un nuovo backup di questo file come utente "little". Collochiamo il file anche in C:\Temp, ma non ha molta importanza.
• Ora, creiamo un link simbolico in una cartella vuota che abbiamo creato in C:, poiché non dobbiamo essere amministratori per creare cartelle in C:\ . La cartella sarà C:\C+
• Apriamo il link simbolico: C:\SymbolicLinks\CreateSumlink.exe C:\C+\Temp\Copyme.txt C:\Windows\Copyme.txt
• Ora, vogliamo ripristinare il backup che abbiamo creato. Selezioniamo il file che vogliamo scrivere in C:\Windows e cambiamo il percorso di output in C:\ (Prima di cliccare il pulsante, creiamo come amministratore un file Copyme.txt con il contenuto "I'm not vulnerable" in C:\Windows )
• Successivamente, clicchiamo il pulsante Avanti. Abbiamo ora sovrascritto con successo il file che abbiamo creato come amministratori

Per escalare i nostri privilegi, potremmo ad esempio collocare un eseguibile nella cartella di avvio di Windows:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hasleo Backup Suite>C:\SymbolicLinks\CreateSymlink.exe C:\C+\Temp\pwned.exe "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe"

Opened Link \RPC Control\pwned.exe -> ??\C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe: 00000138 Press ENTER to exit and delete the symlink