Descrizione

Il programma PoC sfrutta il driver IMFForceDelete che espone un ioctl che consente agli utenti non privilegiati di eliminare file e cartelle. Possiamo trasformarlo in un'escalation di privilegi utilizzando una tecnica spiegata da ZDI e Halov, che sfrutta il meccanismo di rollback MSI progettato per mantenere l'integrità del sistema in caso di problemi. Eliminandolo e ricreandolo con una DACL debole e file RBF e RBS falsi, possiamo ottenere la capacità di apportare modifiche arbitrarie al sistema come NT AUTHORITY\SYSTEM.

VID

Non ho idea se sia stato corretto o meno. Al momento della pubblicazione del PoC, era ancora non corretto. L'eliminazione arbitraria di file/cartelle era già stata segnalata da un altro ricercatore ed era nota al fornitore e non l'hanno corretta, io l'ho solo escalata da un bug non proprio eccezionale a un bug molto più interessante con un impatto maggiore, vedi il write-up qui sotto.