alaatk/cve-2024-27462Wondershare MobileTrans 4.5.6 - Unquoted Service Path
Wondershare MobileTrans 4.5.6 - 따옴표 없는 서비스 경로
Wondershare Filmora 4.5.6 및 이하 버전에는 여러 개의 따옴표 없는 서비스 경로가 포함되어 있어 공격자가 시스템 수준으로 권한을 상승시킬 수 있습니다.
WsAppService3 서비스 바이너리 경로 C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe ElevationService 서비스 바이너리 경로 C:\Program Files (x86)\Wondershare\MobileTrans\ElevationService.exe
C:\Windows\system32>cmd /c wmic service get name,displayname,pathname,startmode |findstr /i "auto" |findstr /i /v "c:\windows\\" |findstr /i /v """
Wondershare Driver Install Service help ElevationService C:\Program Files (x86)\Wondershare\MobileTrans\ElevationService.exe Auto
Wondershare Application Update Service 3.0 WsAppService3 C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe Auto
C:\Windows\system32>sc qc WsAppService3
[SC] QueryServiceConfig SUCCESS
SERVICE_NAME: WsAppService3
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Wondershare Application Update Service 3.0
DEPENDENCIES : RPCSS
SERVICE_START_NAME : LocalSystem
C:\Windows\system32>sc qc ElevationService
[SC] QueryServiceConfig SUCCESS
SERVICE_NAME: ElevationService
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\Program Files (x86)\Wondershare\MobileTrans\ElevationService.exe
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Wondershare Driver Install Service help
DEPENDENCIES :
SERVICE_START_NAME : LocalSystem
악의적인 사용자가 공백이 포함된 경로 중 하나에 쓰기 권한을 가지고 있으면, 해당 폴더에 악성 실행 파일을 배치하고 SYSTEM으로 코드를 실행할 수 있습니다. 예를 들어, 낮은 권한의 사용자가 C:\에 쓰기 권한을 가지고 있다고 가정하면, C:\ 경로에 Program.exe라는 악성 실행 파일을 배치할 수 있으며, 재부팅 후 서비스가 페이로드를 SYSTEM으로 실행합니다.