CVE-2024-27518 - SUPERAntiSpyware Professional X LPE PoC

この脆弱性は、Secunnix Vulnerability Research Team の M. Akil Gündoğan 氏によって発見され、公開されました。このリポジトリには、概念実証 (PoC) とアドバイザリが保持されます。

詳細:

• 製品: SUPERAntiSpyware Professional X および全エディション。
• 影響を受けるバージョン: <=10.0.1262 および最新版 10.0.1264
• CVE ID: CVE-2024-27518
• オペレーティングシステム: サポートされているすべての Windows バージョン (Windows 10 Pro でテスト済み)
• 状態: 公開された責任ある開示。
• 公開日: 03.04.2024

脆弱性の説明:

SUPERAntiSpyware Professional X 10.0.1262 は、特権のないユーザーが NTFS ディレクトリジャンクションを介して、検疫済みの悪意のある DLL を "C:\Program Files\SUPERAntiSpyware" フォルダに復元できるため、ローカル権限昇格に対して脆弱です。これは、マルウェアとして検出される細工された version.dll ファイルによって実証されています。SASCore64.exe には "version.dll" に対する DLL ハイジャッキングの脆弱性があるため、システム再起動後に NT AUTHORITY\SYSTEM としてシェルが取得されます。

技術的な詳細とステップバイステップの概念実証 (PoC):

• 1 - シェルコードを含む悪意のある version.dll ファイルが作成されます。
• 2 - 生成されたシェルコードを含む version.dll が SUPERAntiSpyware によってまだ検出されていない場合、copy /b version_created.dll + malicious.zip version.dll コマンドを使用して、別の悪意のある ".zip" ファイルと結合され、悪意があると検出されるようにします。このようにして、作成された ".dll" ファイルは SUPERAntiSpyware によって悪意があると検出され、検疫されます。
• 3 - 新しいフォルダを作成し、準備した version.dll をその中にコピーします。次に、フォルダがスキャンされ、SUPERAntiSpyware が DLL を検疫します。
• 4 - Google が提供する "Symbolic Link Testing" ツールのうち CreateMountPoint.exe を使用して、version.dll が検疫されているパスを C:\Program Files\SUPERAntiSpyware ディレクトリにマウントします。これらのツールは、次のリンク (https://github.com/googleprojectzero/symboliclink-testing-tools) から入手できます。または、mklink コマンドを使用しても同じことができます。
• 5 - 検疫された "version.dll" が復元されると、SUPERAntiSpyware のディレクトリにコピーされます。システムの再起動後、SASCore64.exe が "version.dll" 内のシェルコードを実行し、攻撃者に NT AUTHORITY\SYSTEM 権限を持つセッションを開きます。

動画:

緩和策:

残念ながら、緩和策は利用できません。脆弱性が修正されるまで SUPERAntiSpyware をアンインストールすることを推奨します。

タイムライン:

• 18.02.2024 - 脆弱性が電子メールで報告されたが、ベンダーは修正を拒否。
• 03.04.2024 - 完全な開示。

参考:

• ベンダー: https://www.superantispyware.com/
• CVE: https://www.cve.org/CVERecord?id=CVE-2024-27518