dimopouloselias/sepm-eopCVE-2018-18368 SEP Manager EoP エクスプロイト
製品名: Symantec Endpoint Protection Manager Version 14 (14 MP1) .2 build 1023 (14.2.1023.0100) - (旧バージョンも影響を受ける可能性があります)
影響度: 高。標準的なWindowsユーザー（管理者ではない）が NT SERVICE\semwebsrv に権限昇格できます。このユーザーロールでは、SEPMの多くのコンポーネントにアクセスでき、jsp、php、おそらくjarファイルを改ざんできます。SEPMの完全な乗っ取りも可能と思われます。さらに、SYSTEMへの権限昇格も可能です。
脆弱性タイプ: DLLプリロード
DLL: dbicudtx16.dll
影響を受けるプロセス: php-cgi.exe
攻撃ベクター: ローカル
ユーザーがSEPMを開いてログインしようとすると、php-cgi.exeプロセスが NT SERVICE\semwebsrv として実行され、dbicudtx16.dll をさまざまな場所から読み込もうとします。
検索するディレクトリの1つは C:\bin32 ディレクトリです。このディレクトリが存在しない場合、任意のユーザーがそれを作成し、悪意のあるdbicudtx16.dllを配置できます。
このDLLは、次に誰かがSEPMにログインしようとしたときに読み込まれます。
C:\bin32 ディレクトリはデフォルトでは存在せず、任意のユーザーが C:\ 配下にフォルダを作成できることを強調しておきます。
詳細な全編動画は以下のリンクでご覧いただけます：
動画のタイムフレーム：
00:00 - 00:50 -> 識別
00:51 - 02:27 -> 攻撃者の権限
02:28 - 03:05 -> 攻撃
03:06 - 03:50 -> 権限昇格のトリガー
03:51 - 09:23 -> いくつかの攻撃シナリオの提示
