null-event/cve-2024-55968DTEX LPE (CVE-2024-55968) のPOC
DTEX LPE (CVE-2024-55968) の POC
影響を受ける製品: DEC-M (DTEX Forwarder) バージョン 6.1.1。DTEX は統合型インサイダーリスク管理プラットフォームです。
影響を受けるコンポーネント: DEC-M EventReportingService XPC Helper
攻撃ベクトル: DTEX Event Reporting Service には、検証を実装していない特権 XPC ヘルパーが存在することが判明しました。悪意のある攻撃者は、このロジックの脆弱性を悪用し、許可されていない XPC 接続を介して DTConnectionHelperProtocol プロトコルの submitQuery メソッドを不正に呼び出すことで、macOS 上でローカルにユーザー特権を昇格させることができます。
macOS DTEX Event Forwarder エージェント内の特権操作を処理する com.dtexsystems.helper サービスは、XPC プロセス間通信 (IPC) 中に重要なクライアント検証を実装していません。具体的には、このサービスは、接続を試みるクライアントのコード要件、エンタイトルメント、セキュリティフラグ、またはバージョンを検証しません。適切なロジック検証が欠如しているため、悪意のある攻撃者は、許可されていないクライアント接続を介してサービスのメソッドを悪用し、root への特権昇格が可能になります。
Paul Montgomery (@nullevent) と Waleed Barakat (@WilDN00B)、TikTok USDS Red Team
