CVE-2024-0670 - CheckMK Agent MSI 修復の特権昇格 (NanoCorp HTB)

このリポジトリには、Hack The Box の NanoCorp マシン上で CVE-2024-0670 を悪用するために使用される PowerShell スクリプトが含まれています。この脆弱性により、低特権ユーザーが CheckMK Windows Agent の MSI 修復機能を悪用して、SYSTEM 権限で任意のコマンドを実行できるようになります。

注: このエクスプロイトは NanoCorp Hack The Box マシン用に開発されたものであり、他の環境で使用する前に変更が必要な場合があります。

免責事項: このリポジトリは教育目的および許可されたセキュリティテスト専用に提供されています。所有しているシステム、またはテストする明示的な許可を得たシステムでのみ使用してください。

使用方法

前提条件

• RunasCs.exe (別のユーザーとしてコマンドを実行するために使用)

クイックスタート

1. RunasCs.exe をアップロードします — web_svc ユーザーとしてエクスプロイトを実行するために必要です。

2. web_svc ユーザーとしてスクリプトを実行します:

   root@kitploit:~

   .\RunasCs.exe "web_svc" "YourWebSvcPassword" "powershell -ExecutionPolicy Bypass -File C:\ProgramData\CVE-2024-0670-NanoCorp.ps1"
   

3. MSI 修復プロセスが完了するのを待ちます。数分かかる場合があります。

4. 完了すると、スクリプトは新しく作成されたローカル管理者アカウントの資格情報を出力します:

   root@kitploit:~

   A new User added as administrator with the following credentials: dfdxarjy Password123@
   

5. 特権昇格が成功したことを確認します:

   root@kitploit:~

   nxc smb nanocorp.htb -u "dfdxarjy" -p "Password123@" -k
   

   期待される出力:

   root@kitploit:~

   [+] nanocorp.htb\dfdxarjy:Password123@ (Pwn3d!)
   

---

説明

この脆弱性により、低特権ユーザー（web_svc など）は、CheckMK Agent が使用する Windows Installer の修復機能を悪用して、NT AUTHORITY\SYSTEM に特権を昇格させることができます。

スクリプトは次の操作を実行します:

1. ターゲットシステムにインストールされている CheckMK MSI パッケージを特定します。
2. ローカルユーザーアカウントを作成するコマンドを含むバッチファイルを C:\Windows\Temp に書き込みます。
3. msiexec /fa を使用して MSI パッケージの修復をトリガーします。
4. 修復プロセスは SYSTEM 権限でバッチファイルを実行します。
5. バッチファイルは、ユーザーをローカルの Administrators グループに追加して、ローカル管理者アカウントを作成します。
6. 実行後、一時ファイルは削除されます。

---

参考文献

• CVE-2024-0670
• CheckMK Windows Agent MSI 修復の特権昇格