MAL-002: Forza il riavvio del sistema tramite MSI di Windows installati

Dopo che un software viene installato correttamente sul sistema, uno o più file MSI attendibili compariranno nella cartella “C:\Windows\Installer” e potrebbero consentire a un utente con privilegi limitati di eseguire azioni di “riparazione” e/o “modifica” come utente “NT Authority\System” senza richiedere UAC. Utilizzando il programma “msiexec.exe” con il flag “/forcerestart”, se un attaccante esegue con successo l'azione di “riparazione”, il sistema di destinazione verrà riavviato.

Nota: Diversi MSI potrebbero richiedere l'autenticazione dell'amministratore anche per la procedura di riparazione, ma di solito questi rappresentano l'eccezione, non la norma (ad es. Vmware Tools).

Casi d'uso:

Riavviare un server Windows come utente con privilegi limitati può essere utile quando:

• Eseguire attacchi locali di escalation dei privilegi che potrebbero causare il crash di un servizio (ad es. attacchi di buffer overflow), al fine di riavviare forzatamente il servizio interessato nel caso in cui diventi non rispondente
• Modificare/scrivere un file di configurazione, una DLL e/o un eseguibile che richiede il riavvio di un servizio/del sistema affinché le modifiche abbiano effetto (ad es. attacco all'ordine di ricerca delle DLL)
• Potenziale DoS tramite il riavvio continuo del bersaglio

Perché nessuna CVE?

Né Microsoft né io consideriamo questa una vulnerabilità ad alto impatto di per sé, quindi non è stata necessaria alcuna CVE.

Detto questo, trovo la vulnerabilità piuttosto interessante e spero che possa essere utile a qualcuno che si imbatta in questo repository.

Requisiti:

Questa vulnerabilità richiede:

• Accesso locale al sistema di destinazione
• Uno o più MSI utilizzabili installati sul sistema di destinazione

Prova di concetto:

Maggiori dettagli e il processo di sfruttamento sono disponibili in questo PDF.

Cronologia:

• Questa vulnerabilità è stata inizialmente segnalata a https://msrc.microsoft.com/ il 18 maggio 2022
• La vulnerabilità è stata considerata un non-problema
• La vulnerabilità è stata ritestata il 23 gennaio 2024 e si è notato che funziona ancora sulle versioni più recenti di Windows 11 (OS Build: 22621.3007)
• La vulnerabilità è stata divulgata pubblicamente il 3 febbraio 2024