wh04m1001/cve-2023-36723Proof-of-concept exploit per CVE-2023-36723, una vulnerabilità di creazione arbitraria di directory in Windows Container Manager, che consente l'escalation dei privilegi a SYSTEM tramite abuso di collegamenti simbolici.
Questo è un PoC per il bug di creazione arbitraria di directory nel servizio Container Manager.
Questo PoC non è stato testato a fondo, quindi potrebbe non funzionare nemmeno nella maggior parte dei casi (è bastato per far confermare la vulnerabilità da MSRC).
Per sfruttare questa vulnerabilità, la funzionalità Windows Sandbox deve essere installata sull'host Windows.
Quando la funzionalità Windows Sandbox è installata, viene creata una serie di directory nella directory c:\programdata. Una di queste directory è C:\ProgramData\Microsoft\Windows\Containers\BaseImages\<GUID>\BaseLayer. Questa directory è diversa perché concede al gruppo degli utenti autenticati permessi di modifica su tutti gli oggetti figlio.
Se la directory BaseLayer è vuota o alcune delle directory al suo interno vengono rimosse, la prossima volta che Windows Sandbox viene avviato, un processo cmimageworker.exe ricreerà quelle directory/file senza controllare i collegamenti simbolici e imposterà un DACL che consente agli utenti autenticati di modificarli.
Ho creato un PoC che abuserà di questa vulnerabilità per creare la directory pwn con DACL permissivi all'interno della directory c:\windows\system32 come mostrato di seguito:
Un attaccante può abusare di questa vulnerabilità per eseguire codice in un processo in esecuzione con privilegi SYSTEM abusando del caricamento degli assembly SxS.
