CVE-2024-0670 – CheckMK Agent のローカル特権昇格（PowerShell PoC）

概要

このリポジトリは、CheckMK Agent における Windows のローカル特権昇格の脆弱性である CVE-2024-0670 に対する**独立した PowerShell 概念実証（PoC）**を提供します。この脆弱性により、低権限のローカルユーザーが MSI 修復プロセス中の予測可能なコマンドファイル実行を悪用して、NT AUTHORITY\SYSTEM へ特権昇格できる可能性があります。

この実装は、elsevar11 氏による公開 PoC（CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit）の派生解析です。中核となる概念を再利用しつつ、合理化された悪用ロジックを提供します。

オリジナルの参照:
https://github.com/elsevar11/CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit/blob/main/exploit.ps1

脆弱性の概要

• ベンダー: Tribe29 / CheckMK
• CVE: CVE-2024-0670
• 重大度: 高 (CVSS 8.8)
• 種別: ローカル特権昇格
• 根本原因: 攻撃者が制御するファイルによる MSI 修復時の未制御の検索パス。

MSI 修復中、インストーラーは C:\Windows\Temp 内の予測可能な名前のファイルを実行します。権限のないユーザーは、制御したペイロードを事前に配置でき、これらは後に昇格した権限で実行されることになります。

内容

要件

• CheckMK Windows Agent がインストールされた Windows マシン
• 権限のないローカルユーザーアカウント
• PowerShell（スクリプト実行を許可する実行ポリシー）
• C:\Windows\Temp\ への書き込み権限
• リバースシェルリスナー（任意、ペイロード用）

設定（exploit.ps1）

必要に応じて以下のパラメータを調整してください：

$LHOST  # Attacker IP
$LPORT  # Attacker port
$NcPath # Path to payload (e.g., nc.exe)
$MinPID # Lower bound for file seeding
$MaxPID # Upper bound for file seeding

使用方法

1. 攻撃側ホストでリスナーを起動します：

nc -lvnp <PORT>

2. 低権限アカウントからエクスプロイトを実行します：

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\exploit.ps1

エクスプロイトが成功すると、SYSTEM シェルがリスナーに接続され戻されます。

クレジット

本エクスプロイトの手法 — MSI パッケージの列挙、予測可能なファイル名の事前配置、MSI 修復の呼び出し — は、GitHub で elsevar11 氏が公開した PoC に基づいています。このリポジトリは、明確化と研究の再現性のために、そのロジックを別の PowerShell 形式に適合させたものです。

法的通知

このコードは、教育目的、防御的エンジニアリング、および許可を得たテストのみのために提供されます。明示的な許可なくシステムに対して使用することは違法です。作者は、誤用または法的結果について一切の責任を負いません。

ライセンス

このリポジトリは MIT ライセンスの下で公開されています。