CVE-2024-31771 TotalAV 任意ファイル書き込み

TotalAV バージョン 6.0.x

タイムライン:

2024年2月13日 : 6.0.740に脆弱性を発見し、TotalAVに報告しました。

2024年2月15日: TotalAVが問題を確認し、再現しました。

2024年2月19日: TotalAVは別のベンダーと連絡を取っていました。そのベンダーは対応中であると回答しました。

2024年3月18日 - 4月19日: 更新情報を求めたが、TotalAVから返答なし。

2024年5月3日: CVE IDを申請し、TotalAVにさらなる更新を求めました。TotalAVはこの問題に関する更新はないと返答しました。

2024年5月11日: バージョン6.0.1028は依然として脆弱でした。ベンダーからの緩和策の予定はありませんでした。

手順:

msfvenom（metasploitエクスプロイテーションソフトウェアパッケージの一部）によって生成された悪意のあるDLLをダウンロードします。動画では、Windows Updateサービスによって読み込まれるDLLを対象にしました。
DLLが隔離された後、ダウンロードファイルの場所を C:\Windows\System32\ にリンクするジャンクションを作成します。たとえば、c:\users<username>\downloads\test をリンクします。

C:\Users\player1\Desktop\CreateMountPoint.exe "C:\Users\player1\Downloads\test" "C:\Windows\System32"
DLLを復元すると、ファイルはマウントポイント - C:\Windows\System32\ に書き込まれます。
- 例としてeicarを使用した場合、NT\SYSTEM によって書き込まれました。
復元後、DLLは2回目に脅威として検出され、再度隔離に移動されます。
隔離からDLLを再度復元すると、ファイルは再び C:\Windows\System32\ に書き込まれます。
その後、Windows Updateサービスがトリガーされると、悪意のあるDLLが読み込まれ、攻撃者は nt authority\SYSTEM の特権を取得します。

(New-Object -ComObject Microsoft.Update.Session).CreateUpdateSearcher().Search('IsInstalled=0')

Filip に特別な感謝を !!! (https://github.com/Wh04m1001)

CVE-2024-31771