wh04m1001/cve-2023-29343Exploit proof-of-concept per la scrittura arbitraria di file in Sysmon 14.14, che abusa della traccia dei servizi di Windows per ottenere l'elevazione dei privilegi.
Questo è un PoC per il bug di scrittura arbitraria di file in Sysmon versione 14.14
Dopo l'ultima patch, Sysmon verifica se la directory Archive esiste e, in tal caso, controlla se la directory archive è di proprietà di NT AUTHORITY\SYSTEM e l'accesso è concesso solo a NT AUTHORITY\SYSTEM. Se entrambe le condizioni sono vere, Sysmon scriverà/eliminerà file in quella directory.
Non essendo possibile cambiare la proprietà di file/directory come utente con privilegi bassi, ho dovuto trovare una directory di proprietà di SYSTEM che però conceda all'utente con privilegi bassi (o a qualsiasi gruppo di cui l'utente con privilegi bassi è membro) accesso completo o almeno WRITE_DAC|DELETE|FILE_WRITE_ATTRIBUTES.
Non sono riuscito a trovare una tale directory in un'installazione predefinita, ma sono riuscito a crearne una abusando del tracciamento dei servizi Windows e del servizio RasMan.
Questo PoC funzionerà solo su Sysmon versione 14.14 e client Windows prima della patch di aprile a causa delle modifiche introdotte con la patch per CVE-2023-28222 che ha eliminato il trucco che ho usato per creare una directory di proprietà di SYSTEM e concedere accesso completo a un utente con privilegi bassi. Il PoC può essere modificato per funzionare su client dopo la patch di aprile se si riesce ad abusare di altri servizi Windows per creare una directory (o trovare directory create da app di terze parti :) )
https://itm4n.github.io/cve-2020-0668-windows-service-tracing-eop/ (@itm4n)
