alaatk/cve-2024-27674Macro Expert <= 4.9.4 - 안전하지 않은 권한 상승
Macro Expert <= 4.9.4 - 안전하지 않은 권한 권한 상승
Macro Expert 4.9.4 및 이하 버전의 안전하지 않은 권한 취약점으로 인해 로컬의 권한이 없는 공격자가 제어 가능한 경로에 존재하는 MacroService.exe 바이너리를 대체하여 조작된 스크립트를 통해 SYSTEM 권한으로 임의 코드를 실행할 수 있습니다.
서비스 이름: Macro Expert
경로 권한: c:\program files (x86)\grasssoft\macro expert
C:\>icacls "C:\Program Files (x86)\GrassSoft\Macro Expert"
C:\Program Files (x86)\GrassSoft\Macro Expert BUILTIN\Users:(OI)(CI)(M)
NT SERVICE\TrustedInstaller:(I)(F)
NT SERVICE\TrustedInstaller:(I)(CI)(IO)(F)
NT AUTHORITY\SYSTEM:(I)(F)
NT AUTHORITY\SYSTEM:(I)(OI)(CI)(IO)(F)
BUILTIN\Administrators:(I)(F)
BUILTIN\Administrators:(I)(OI)(CI)(IO)(F)
BUILTIN\Users:(I)(RX)
BUILTIN\Users:(I)(OI)(CI)(IO)(GR,GE)
CREATOR OWNER:(I)(OI)(CI)(IO)(F)
APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(RX)
APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(OI)(CI)(IO)(GR,GE)
이 경로의 파일은 권한이 없는 사용자, 악성 프로세스 및/또는 위협 행위자에 의해 수정될 수 있습니다. 그리고 SYSTEM 컨텍스트에서 실행되는 "Macro Expert" 서비스는 이 디렉터리의 "MacroService.exe"를 호출합니다. 악의적인 사용자가 이 디렉터리 내의 "MacroService.exe"라는 실행 파일을 대체하면, 서비스는 재부팅 시 이러한 악성 바이너리를 의도치 않게 실행하며 SYSTEM 권한으로 실행됩니다.
Alaa Kachouh