ADManager Plus Build < 7230 権限昇格 (CVE-2025-9435)

要件

'Modify user general properties'ロールを持ち、ADManagerがインストールされているサーバーへのログオンアクセス権を持つテクニシャンユーザー。

説明

テクニシャンユーザーがサーバーへのログオン権限を持っている場合、ADManagerを高い権限で実行しているサービスアカウントまたはユーザーアカウントへ権限を昇格させることができます。ユーザーはWebアプリケーションを通じて任意のディレクトリを作成し、そのディレクトリにDLLファイルをコピーできます。ADManagerが再起動されると、DLLファイルはADManagerを実行しているユーザーの権限で実行されます。

概念実証

1. テクニシャンユーザーとしてログインし、Profile Attributesをクリックします。
2. 「Home folder」と「Connect」ボックスを選択し、任意のネットワークパスを入力します。次に、ログインしているテクニシャンユーザーの名前を入力し、検索をクリックします。
3. BurpSuiteでリクエストをキャプチャし、homeDirectoryパラメータに....\\jre\\lib\\ext\\amd64の値を設定して、リクエストを転送します。
4. テクニシャンユーザーを選択し、「Apply」をクリックします。
5. C:\Program Files\ManageEngine\ADManager Plus\jre\lib\extディレクトリの下にamd64という名前のディレクトリが作成されます。テクニシャンユーザーはamd64ディレクトリに対してFull control権限を持ちます。
6. リバースシェルを取得するために、悪意のあるsunmscapi.dllまたはsunec.dll (this DLL could cause the ADManager Plus application to fail to start) DLLファイルを作成します。
7. テクニシャンユーザーとして、ADManagerがインストールされているサーバーにログインします。DLLファイルをC:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext\amd64にコピーします。通常の条件では、ユーザーは権限が不十分なためC:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext\ディレクトリの下にファイルをコピーできません。しかし、任意のディレクトリ作成の脆弱性を悪用して「amd64」ディレクトリの下に書き込み権限を取得し、これらのファイルをコピーできます。
8. ADManagerが再起動された後、DLLファイルが実行され、高い権限でリバースシェルが取得されます。

PoC 詳細

https://docs.unsafe-inline.com/0day/admanager-plus-build-less-than-7230-elevation-of-privilege-vulnerability