CVE-2024-54910

https://www.cve.org/CVERecord?id=CVE-2024-54910

このドキュメントでは、任意のファイル書き込みを可能にし、Hasleo Backup Suite Free <= 4.9.4 がインストールされた Windows システム上で権限昇格につながる脆弱性について解説します。バックアップ復元操作とシンボリックリンク、および低権限ユーザーの操作を組み合わせることで、重要なシステムファイルを上書きしたり、悪意のある実行ファイルを機密ディレクトリに配置したりして、攻撃者が管理者アクセスを取得できることを実証します。この手法は、ファイル書き込みの脆弱性を悪用するフェーズと、Windows のスタートアップフォルダに悪意のあるペイロードを配置して権限を昇格するフェーズの2つに分けられます。

影響を受けるバージョン: Hasleo Backup Suite Free <= 4.9.4

ホスト仕様: Microsoft Windows 10 Pro 64-bit 10.0.19045

任意のファイル書き込み バックアップを復元する際のファイル権限をテストしたところ、ファイルは管理者権限で指定した場所に送信され、C+\それ以降のパス のようにファイルへの完全なパスが作成されることを確認しました。 すべての手順を低権限ユーザーとして実行します。

再現手順:

• まず、C:\Temp にファイルを作成します
• 次に、このファイルから「little」ユーザーとして新しいバックアップを作成します。ファイルは C:\Temp にも配置しますが、場所は重要ではありません。
• 次に、C:\ に作成した空のフォルダにシンボリックリンクを作成します。C:\ にフォルダを作成するのに管理者権限は必要ないためです。フォルダは C:\C+ になります
• シンボリックリンクを開きます: C:\SymbolicLinks\CreateSumlink.exe C:\C+\Temp\Copyme.txt C:\Windows\Copyme.txt
• 次に、作成したバックアップを復元します。C:\Windows に書き込むファイルを選択し、出力パスを C:\ に変更します（ボタンをクリックする前に、管理者として C:\Windows に「I'm not vulnerable」という内容の Copyme.txt ファイルを作成しておきます）
• その後、次へボタンをクリックします。管理者として作成したファイルの上書きに成功しました

権限を昇格するには、例えばスタートアップの Windows フォルダに実行ファイルを配置できます:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hasleo Backup Suite>C:\SymbolicLinks\CreateSymlink.exe C:\C+\Temp\pwned.exe "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe"

Opened Link \RPC Control\pwned.exe -> ??\C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe: 00000138 Press ENTER to exit and delete the symlink