Macro Expert <= 4.9.4 - 安全でない権限による特権昇格
Macro Expert 4.9.4 およびそれ以下のバージョンにおける安全でない権限の脆弱性により、ローカルの非特権攻撃者が、制御可能なパス内に存在する MacroService.exe バイナリを置き換えることで、細工されたスクリプトを介して SYSTEM として任意のコードを実行できる可能性があります。
サービス名: Macro Expert
パス権限: c:\program files (x86)\grasssoft\macro expert
C:\>icacls "C:\Program Files (x86)\GrassSoft\Macro Expert"
C:\Program Files (x86)\GrassSoft\Macro Expert BUILTIN\Users:(OI)(CI)(M)
NT SERVICE\TrustedInstaller:(I)(F)
NT SERVICE\TrustedInstaller:(I)(CI)(IO)(F)
NT AUTHORITY\SYSTEM:(I)(F)
NT AUTHORITY\SYSTEM:(I)(OI)(CI)(IO)(F)
BUILTIN\Administrators:(I)(F)
BUILTIN\Administrators:(I)(OI)(CI)(IO)(F)
BUILTIN\Users:(I)(RX)
BUILTIN\Users:(I)(OI)(CI)(IO)(GR,GE)
CREATOR OWNER:(I)(OI)(CI)(IO)(F)
APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(RX)
APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(OI)(CI)(IO)(GR,GE)
このパス内のファイルは、非特権ユーザー、悪意のあるプロセス、または脅威アクターによって変更される可能性があります。 また、SYSTEM コンテキストで実行されるサービス "Macro Expert" は、このディレクトリ内の "MacroService.exe" を呼び出します。 悪意のあるユーザーがこのディレクトリ内の "MacroService.exe" という名前の実行可能ファイルを置き換えた場合、サービスは再起動時に不注意でこれらの悪意のあるバイナリを実行し、SYSTEM 権限で実行します。
Alaa Kachouh