CVE-2024-55968

CVE-2024-55968 の LPE Exploit POC

脆弱性の説明

macOS DTEX Event Forwarder エージェント内で特権操作を処理する com.dtexsystems.helper サービスは、XPC プロセス間通信 (IPC) において重要なクライアント検証を実装していません。具体的には、このサービスは接続を試みるクライアントのコード要件、エンタイトルメント、セキュリティフラグ、バージョンを検証しません。この適切なロジック検証の欠如により、悪意のあるアクターは不正なクライアント接続を介してサービスのメソッドを悪用し、権限を root に昇格させることが可能になります。

影響を受けるバージョン

DEC-M (DTEX Forwarder) 6.1.1

影響を受けるコンポーネント

DEC-M EventReportingService XPC Helper

攻撃ベクトル

DTEX Event Reporting Service は、検証を実装していない特権 XPC ヘルパーを備えていることが判明しました。悪意のあるアクターは、このロジックの脆弱性を悪用して、不正な XPC 接続を介して DTConnectionHelperProtocol プロトコルの submitQuery メソッドを悪用することにより、macOS 上でローカルユーザーの権限を昇格させることができます。

クレジット

Paul Montgomery (@nullevent) と Waleed Barakat (@WilDN00B)、TikTok USDS Red Team

参考文献

https://www.dtexsystems.com/