MAL-002: インストール済みWindows MSIを介したシステムの強制再起動

ソフトウェアがシステムに正常にインストールされると、1つ以上の信頼されたMSIファイルが「C:\Windows\Installer」フォルダーに表示され、低特権ユーザーがUACを必要とせずに「NT Authority\System」ユーザーとして「修復」および/または「変更」アクションを実行できる可能性があります。攻撃者が「msiexec.exe」プログラムを「/forcerestart」フラグと共に使用して「修復」アクションを正常に実行すると、対象システムが再起動されます。

注記： 一部のMSIは、修復手順でも管理者認証が必要な場合がありますが、これらは通常、例外的であり、標準ではありません（例：Vmware Tools）。

ユースケース：

低特権ユーザーとしてWindowsサーバーを再起動することが有用な場合：

• サービスをクラッシュさせる可能性のあるローカル権限昇格攻撃（例：バッファオーバーフロー攻撃）を実行し、サービスが応答しなくなった場合に強制的に再起動するため
• 変更を有効にするためにサービス/システムの再起動が必要な設定ファイル、DLL、実行可能ファイルを変更/書き込みする場合（例：DLL検索順序攻撃）
• ターゲットを継続的に再起動することによる潜在的なDoS

なぜCVEがないのか？

マイクロソフトも私も、これは単体では影響度の高い脆弱性ではないと考えているため、CVEは必要ありませんでした。

とはいえ、私はこの脆弱性をかなり興味深いと感じており、このリポジトリに出会った誰かの役に立つことを願っています。

要件：

この脆弱性には以下が必要です：

• 対象システムへのローカルアクセス
• 対象に1つ以上の利用可能なMSIがインストールされていること

概念実証：

詳細と悪用プロセスについては、このPDFを参照してください。

タイムライン：

• この脆弱性は、2022年5月18日に https://msrc.microsoft.com/ へ最初に報告されました
• 脆弱性は問題ではないと見なされました
• 2024年1月23日に脆弱性を再テストし、最新バージョンのWindows 11（OSビルド：22621.3007）でもまだ機能することを確認しました
• 2024年2月3日に脆弱性を公開しました