説明

• このPoCプログラムは、IMFForceDeleteドライバを悪用します。このドライバは、非特権ユーザーがファイルやフォルダを削除できるようにするioctlを公開しています。これを権限昇格に転用するには、ZDIとHalovによって説明された手法を用います。これは、問題発生時にシステムの整合性を維持するために設計されたMSIロールバック機構を悪用するものです。弱いDACLと偽のRBFおよびRBSファイルで削除・再作成することで、NT AUTHORITY\SYSTEMとしてシステムに任意の変更を加える能力を得ることができます。

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

注意

• 修正済みかどうかは不明です。PoCを投稿した時点では、まだ修正されていませんでした。任意のファイル/フォルダ削除は別の研究者によってすでに報告されており、ベンダーも認識していましたが修正されませんでした。私はそれを、それほどクールではないバグから、より高い影響を持つずっとクールなバグへとエスカレートさせただけです。以下のWrite-upを参照してください。

Write-up

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

クレジット

• Halov
• ZDI
• vx-underground and #ifndef hjonk