CVE-2024-37726 MSI Center ローカル権限昇格 - 任意ファイル上書きの脆弱性

脆弱性の概要

Windows OS上で、MSI Center バージョン <= 2.0.36.0 において、低権限ユーザーがシステム上の高権限・重要なファイルを任意に上書きまたは削除できるローカル権限昇格の脆弱性が特定されました。この脆弱性は、MSI Center アプリケーションが NT AUTHORITY\SYSTEM 権限で実行され、ファイルを低権限ユーザーが制御するディレクトリに書き込むことに起因します。これにより、低権限ユーザーがシンボリックリンクを利用してファイルシステムを操作し、アプリケーションを騙して任意の場所にファイルを書き込んだり上書きしたりすることが可能になります。

脆弱性の詳細

この脆弱性は、低権限ユーザーがディレクトリを作成し、そのディレクトリ内のファイルに OpLock を設定することでトリガーされます。ユーザーは MSI Center の「Export System Info」機能を利用して、OpLock が設定されたファイルに対するファイル書き込み操作をトリガーできます。OpLock が有効な間、ユーザーは元のファイルを移動し、ターゲットファイルへのジャンクションを作成することで、MSI Center アプリケーションに SYSTEM 権限でターゲットファイルを上書きまたは削除させることができます。

再現手順

1. 単一ファイル（例：C:\Users\Public\eop\12345.txt）を含むディレクトリを作成します。
2. ファイル 12345.txt に OpLock を設定します。
3. MSI Center の「Export System Info」機能を選択し、OpLock が設定されたファイルを選択してファイル書き込み操作をトリガーします。
4. MSI Center.exe および MSI.CentralServer.exe プロセスは OpLock により一時停止されます。
5. ディレクトリを空にするために 12345.txt を移動します。
6. 元のディレクトリからターゲットロケーション（例：GLOBAL\GLOBALROOT\RPC Control\12345.txt）へのジャンクションを作成します。
7. ターゲットロケーションからターゲットファイル（例：C:\Windows\lsasetup.log）へのシンボリックリンクを作成します。
8. OpLock を解放します。
9. シンボリックリンクを削除します。
10. ターゲットファイル（例：C:\Windows\lsasetup.log）が削除され、上書きされます。

権限昇格

管理者権限なしでプログラムを作成およびインストールし、低権限ユーザーが書き込みアクセス権を持つ任意の場所にインストールできます。出力にはインストールされたプログラムの名前が含まれるため、プログラム名を悪用して、結果を C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\backdoor.bat に書き込むことができます。管理者がログインするたびに、ペイロードが実行され、権限昇格が発生します。

インストールの管理者要件を削除するには、必ず MsiInfo.exe を使用してください。

C:\Program Files (x86)\Windows Kits\10\bin\10.0.17763.0\x86\MsiInfo.exe "D:\tools\MSI Center EOP\t& calc.exe &\Release\t& calc.exe &.msi" -w 10

権限昇格の手順

1. 低権限ユーザーで、プログラム名としてペイロードを含むプログラムを作成し、インストールします。

2. PoC を再実行しますが、リンク先を C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\calc.bat に設定します。

3. ペイロードが出力に含まれていることが確認できます。

4. 自動実行機能を悪用することで、管理者がログインした際に任意のコードを実行させることができます。

影響

この脆弱性が悪用されると、低権限ユーザーが重要なシステムファイルを任意に上書きまたは削除できるようになり、権限昇格につながる可能性があります。これにより、システムが完全に侵害される可能性があります。

参考情報

https://csr.msi.com/global/product-security-advisories

備考

新しいバージョン（2.0.38.0）が 3/7/2024 にリリースされ、この脆弱性は修正されました。