null-event/cve-2024-55968POC per DTEX LPE (CVE-2024-55968)
POC per LPE DTEX (CVE-2024-55968)
Prodotto interessato: DEC-M (DTEX Forwarder) versione 6.1.1. DTEX è una piattaforma unificata di gestione del rischio insider.
Componente interessato: DEC-M EventReportingService XPC Helper
Vettore di attacco: Il servizio Event Reporting Service di DTEX presenta uno XPC helper privilegiato che non implementa la validazione. Un attore malintenzionato può armare questa vulnerabilità logica per escalare localmente i privilegi utente su macOS abusando del metodo submitQuery del protocollo DTConnectionHelperProtocol tramite una connessione XPC non autorizzata.
Il servizio com.dtexsystems.helper, responsabile della gestione delle operazioni privilegiate all'interno dell'agente macOS DTEX Event Forwarder, non implementa una validazione critica del client durante la comunicazione inter-processo (IPC) XPC. In particolare, il servizio non verifica i requisiti del codice, le entitlement, i flag di sicurezza o la versione di qualsiasi client che tenti di stabilire una connessione. Questa mancanza di una corretta validazione logica consente ad attori malintenzionati di sfruttare i metodi del servizio tramite connessioni client non autorizzate e di escalare i privilegi a root.
Paul Montgomery (@nullevent) e Waleed Barakat (@WilDN00B), TikTok USDS Red Team
