CVE-2024-43583 - Windows 権限昇格エクスプロイト

著者: No0B@ckSappi3 Instagram: No0BackSappi3

概要

CVE-2024-43583 は、Microsoft の Winlogon コンポーネントに影響を及ぼす 特権昇格 の脆弱性です。この欠陥を悪用すると、低権限のユーザーが権限を SYSTEM に昇格させ、システム全体を完全に侵害できるようになります。

この概念実証 (PoC) は、Windows の Image File Execution Options (IFEO) レジストリキーを介した デバッガーハイジャック を利用して、正当なシステムプロセスを悪意のあるペイロードに置き換えます。

影響を受ける Windows バージョン

影響を受ける Windows バージョン

Windows 10 (1507 - 22H2) Windows 11 (21H2 - 24H2) Windows Server 2008 SP2 - 2022

⚠️ 免責事項

このエクスプロイトは教育および研究目的のみを対象としています。許可されていないシステムで使用しないでください。このエクスプロイトを誤用すると、違法となる可能性があります。

エクスプロイトの使用方法

セットアップ

ターゲットシステムに Python がインストールされていることを確認してください。インストールされていない場合は、コンパイル済みの .exe バージョンを使用してください。

エクスプロイトを実行する

オプション 1: 低権限ユーザーから直接実行

python poc-43583.py

オプション 2: タスクスケジューラ経由で実行

1. スケジュールされたタスクを作成: (管理者として実行)
   root@kitploit:~

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. タスクを実行:
   root@kitploit:~

   schtasks /run /tn "LowPrivExploit"
   

3. エクスプロイトをトリガー: タスクマネージャーを開きます (Ctrl + Shift + Esc)。成功すると、代わりに SYSTEM シェルが表示されます。

権限昇格の確認

エクスプロイトが実行されたら、自分の権限を確認します:

whoami

期待される出力:

nt authority\system

🛠️ クリーンアップ

方法 1: PoC を使用してデフォルトに復元する

スクリプトを再実行し、オプション [2] を選択してハイジャックを削除します。

方法 2: レジストリキーを手動で削除する

1. 管理者コマンドプロンプトを開きます。
2. 以下を実行:
   root@kitploit:~

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. スケジュールされたタスクを削除します (使用した場合):
   root@kitploit:~

   schtasks /delete /tn "LowPrivExploit" /f
   

検出と緩和策

• 予期しない Debugger キーを確認:
  root@kitploit:~

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• Windows Defender 改ざん防止 (Tamper Protection) を有効にして、レジストリの変更を防ぎます。
• EDR/SIEM ソリューションを使用して、不正なレジストリ変更を検出します。

📝 参考情報

• Microsoft セキュリティアドバイザリ
• エクスプロイト開発ガイド