検証済み製品: Datacard XPS Card Printer ドライバー バージョン: <= 8.4
説明: このアプリケーションは、デフォルトインストール時の安全でないファイル/フォルダーのアクセス許可により、ローカル権限昇格 (LPE) の脆弱性が発生します。この設定では、パス C:\ProgramData\Datacard\XPS Card Printer\Service に対してすべてのユーザー (Everyone) にフルコントロールの権限が付与されます。C:\ProgramData\Datacard 内のファイルとフォルダーは、特権のないユーザー、悪意のあるプロセス、および/または攻撃者によって変更される可能性があります。管理者が XPS Card Printer をインストールすると、SYSTEM コンテキストで実行され、C:\ProgramData\Datacard\XPS Card Printer\Service ディレクトリ内の DEVOBJ.dll または CFGMGR32.dll を呼び出します。このディレクトリには、低特権ユーザーが事前に悪意のある DLL を配置でき、その DLL はインストール時にチェックも削除もされません。これらの DLL は存在しないため、アプリケーションインストーラーによって NOT FOUND と表示されます。悪意のあるユーザーが DEVOBJ.dll または CFGMGR32.dll という名前の DLL をこのディレクトリに配置した場合、セットアップはサービスがカードプリンターに接続しようとする際にこれらの悪意のある DLL を誤って実行し、SYSTEM 権限で実行することになります。
エクスプロイト POC:
1- 低特権ユーザーで、ディレクトリ "C:\ProgramData\Datacard\XPS Card Printer\Service" を作成し、任意の DLL を配置して DEVOBJ.dll または CFGMGR32.dll にリネームします。
2- 管理者で、ドライバーを通常どおりインストールします。
3- DLL ペイロードが SYSTEM として実行されます。
