CVE-2024-57394

Qi-ANXIN Tianqing エンドポイントセキュリティ管理システム（テストバージョン10.0）において、脆弱性が特定されました。この脆弱性により、低権限ユーザーが隔離されたファイルを任意の場所（例：C:\Windows\System32）に復元できてしまいます。 攻撃者は悪意のあるDLLファイルを作成し、それをC:\Windows\System32に復元し、既知のDLLハイジャック脆弱性（例：StorSvcを介したLPE）を悪用して、SYSTEM権限に昇格することが可能です。

再現手順

悪意のあるコマンドを実行するsprintcsp.dllという名前の悪意のあるDLLを作成します。

DLLをターゲットマシンに配置すると、ファイルは隔離されます。

EDRクライアントでファイルを復元し、信頼します。

ファイルがC:\Windows\System32に正常に書き込まれます。

RpcClient.exeを作成します。これはStorSvcサービスのDLLハイジャック脆弱性を利用して、悪意のあるDLLsprintcsp.dllを実行します。 概念実証として、DLLはabcという名前のサービスを作成し、C:\Users\Public\test.exeのバイナリをSYSTEMとして実行します。 参考：https://github.com/blackarrowsec/redteam-research/tree/master/LPE%20via%20StorSvc