CVE-2024-54910

https://www.cve.org/CVERecord?id=CVE-2024-54910

이 문서는 임의 파일 쓰기를 허용하여 Hasleo Backup Suite Free <= 4.9.4가 설치된 Windows 시스템에서 권한 상승으로 이어지는 취약점을 탐구합니다. 백업 복구 작업과 심볼릭 링크 및 낮은 권한의 사용자 작업을 결합하면 중요한 시스템 파일을 덮어쓰거나 민감한 디렉터리에 악성 실행 파일을 배치하여 공격자가 관리자 액세스 권한을 얻을 수 있음을 보여줍니다. 이 방법론은 두 단계로 나뉩니다: 파일 쓰기 취약점 악용과 Windows 시작 폴더에 악성 페이로드를 배치하여 권한을 상승시키는 것입니다.

영향을 받는 버전: Hasleo Backup Suite Free <= 4.9.4

호스트 사양: Microsoft Windows 10 Pro 64-bit 10.0.19045

임의 파일 쓰기 백업을 복구할 때 파일 권한을 테스트하던 중, 파일이 관리자 권한으로 우리가 지정한 위치로 이동하며 C+\나머지경로와 같이 파일의 전체 경로를 생성하는 것을 발견했습니다. 모든 단계를 낮은 권한의 사용자로 진행할 것입니다.

재현 단계:

• 먼저, C:\Temp에 파일을 생성합니다.
• 그런 다음, "little" 사용자로 이 파일의 새 백업을 생성합니다. 파일을 C:\Temp에도 배치하지만, 위치는 중요하지 않습니다.
• 이제, C:\에 생성한 빈 폴더에 심볼릭 링크를 생성합니다. C:\에 폴더를 만들기 위해 관리자일 필요는 없기 때문입니다. 해당 폴더는 C:\C+가 됩니다.
• 심볼릭 링크를 엽니다: C:\SymbolicLinks\CreateSumlink.exe C:\C+\Temp\Copyme.txt C:\Windows\Copyme.txt
• 이제, 만든 백업을 복구하려고 합니다. C:\Windows에 쓰려는 파일을 선택하고 출력 경로를 C:\로 변경합니다. (버튼을 클릭하기 전에, 관리자 권한으로 "I'm not vulnerable" 내용의 Copyme.txt 파일을 C:\Windows에 생성합니다.)
• 그런 다음, 다음 버튼을 클릭합니다. 이제 관리자로 생성한 파일을 성공적으로 덮어썼습니다.

권한을 상승시키기 위해, 예를 들어 Windows 시작 폴더에 실행 파일을 배치할 수 있습니다:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hasleo Backup Suite>C:\SymbolicLinks\CreateSymlink.exe C:\C+\Temp\pwned.exe "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe"

Opened Link \RPC Control\pwned.exe -> ??\C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe: 00000138 Press ENTER to exit and delete the symlink