CVE-2024-27674

Macro Expert <= 4.9.4 - 安全でないアクセス許可による権限昇格

説明:

Macro Expert 4.9.4 以前のバージョンにおける安全でないアクセス許可の脆弱性により、ローカルの非特権攻撃者が、制御可能なパス内に存在する MacroService.exe バイナリを置き換えることで、細工されたスクリプトを介して SYSTEM として任意のコードを実行できるようになります。

影響を受けるサービス

servicename: Macro Expert

パスのアクセス許可: c:\program files (x86)\grasssoft\macro expert

ACL のアクセス許可

C:\>icacls "C:\Program Files (x86)\GrassSoft\Macro Expert"
C:\Program Files (x86)\GrassSoft\Macro Expert BUILTIN\Users:(OI)(CI)(M)
                                              NT SERVICE\TrustedInstaller:(I)(F)
                                              NT SERVICE\TrustedInstaller:(I)(CI)(IO)(F)
                                              NT AUTHORITY\SYSTEM:(I)(F)
                                              NT AUTHORITY\SYSTEM:(I)(OI)(CI)(IO)(F)
                                              BUILTIN\Administrators:(I)(F)
                                              BUILTIN\Administrators:(I)(OI)(CI)(IO)(F)
                                              BUILTIN\Users:(I)(RX)
                                              BUILTIN\Users:(I)(OI)(CI)(IO)(GR,GE)
                                              CREATOR OWNER:(I)(OI)(CI)(IO)(F)
                                              APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(RX)
                                              APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(OI)(CI)(IO)(GR,GE)

攻撃ベクトル

このパス内のファイルは、非特権ユーザー、悪意のあるプロセス、および/または脅威アクターによって変更される可能性があります。 また、SYSTEM コンテキストで実行されるサービス「Macro Expert」は、このディレクトリ内の「MacroService.exe」を呼び出します。 悪意のあるユーザーがこのディレクトリ内の「MacroService.exe」という名前の実行ファイルを置き換えた場合、サービスは再起動時にこれらの悪意のあるバイナリを意図せず実行し、SYSTEM 権限で動作させることになります。

発見者:

Alaa Kachouh.....