CVE-2024-0670 - CheckMK 에이전트 MSI 복구 권한 상승 (NanoCorp HTB)

이 저장소는 Hack The Box의 NanoCorp 머신에서 CVE-2024-0670을 악용하는 PowerShell 스크립트를 포함합니다. 이 취약점은 낮은 권한의 사용자가 CheckMK Windows 에이전트 MSI 복구 기능을 남용하여 SYSTEM 권한으로 임의의 명령을 실행할 수 있게 합니다.

참고: 이 익스플로잇은 NanoCorp Hack The Box 머신 용으로 개발되었으며, 다른 환경에서 사용하려면 수정이 필요할 수 있습니다.

면책 조항: 이 저장소는 교육 목적과 승인된 보안 테스트만을 위해 제공됩니다. 소유한 시스템이나 명시적 테스트 허가가 있는 시스템에서만 사용하십시오.

사용법

전제 조건

• RunasCs.exe (다른 사용자로 명령을 실행하는 데 사용)

빠른 시작

1. RunasCs.exe를 업로드합니다. — web_svc 사용자로 익스플로잇을 실행하는 데 필요합니다.

2. web_svc 사용자로 스크립트를 실행합니다:

   root@kitploit:~

   .\RunasCs.exe "web_svc" "YourWebSvcPassword" "powershell -ExecutionPolicy Bypass -File C:\ProgramData\CVE-2024-0670-NanoCorp.ps1"
   

3. MSI 복구 프로세스가 완료될 때까지 기다립니다. 몇 분 정도 걸릴 수 있습니다.

4. 완료되면 스크립트는 새로 생성된 로컬 관리자 계정의 자격 증명을 출력합니다:

   root@kitploit:~

   A new User added as administrator with the following credentials: dfdxarjy Password123@
   

5. 성공적인 권한 상승을 확인합니다:

   root@kitploit:~

   nxc smb nanocorp.htb -u "dfdxarjy" -p "Password123@" -k
   

   예상 출력:

   root@kitploit:~

   [+] nanocorp.htb\dfdxarjy:Password123@ (Pwn3d!)
   

---

설명

이 취약점은 낮은 권한의 사용자(예: web_svc)가 CheckMK 에이전트가 사용하는 Windows Installer 복구 기능을 남용하여 NT AUTHORITY\SYSTEM으로 권한을 상승시킬 수 있습니다.

스크립트는 다음 작업을 수행합니다:

1. 대상 시스템에 설치된 CheckMK MSI 패키지를 찾습니다.
2. 로컬 사용자 계정을 생성하는 명령이 포함된 배치 파일을 C:\Windows\Temp에 작성합니다.
3. msiexec /fa를 사용하여 MSI 패키지의 복구를 트리거합니다.
4. 복구 프로세스가 SYSTEM 권한으로 배치 파일을 실행합니다.
5. 배치 파일이 사용자를 로컬 Administrators 그룹에 추가하여 로컬 관리자 계정을 생성합니다.
6. 실행 후 임시 파일이 제거됩니다.

---

참고 자료

• CVE-2024-0670
• CheckMK Windows 에이전트 MSI 복구 권한 상승