ADManager Plus 빌드 < 7230 권한 상승 (CVE-2025-9435)

요구 사항

'Modify user general properties' 역할과 ADManager가 설치된 서버에 대한 로그온 액세스 권한을 가진 기술자 사용자.

설명

기술자 사용자가 서버에 대한 로그온 권한을 가지고 있으면, 높은 권한으로 ADManager를 실행하는 서비스 계정 또는 사용자 계정으로 권한을 상승시킬 수 있습니다. 사용자는 웹 애플리케이션을 통해 임의의 디렉터리를 생성한 다음 DLL 파일을 이 디렉터리에 복사할 수 있습니다. ADManager가 다시 시작되면 DLL 파일은 ADManager를 실행하는 사용자의 권한으로 실행됩니다.

개념 증명

1. 기술자 사용자로 로그인하고 Profile Attributes를 클릭합니다.
2. “Home folder”를 선택하고 “Connect” 상자에 임의의 네트워크 경로를 입력합니다. 그런 다음 로그인한 기술자 사용자의 이름을 입력하고 검색을 클릭합니다.
3. BurpSuite로 요청을 캡처하고 homeDirectory 매개변수에 ....\\jre\\lib\\ext\\amd64 값을 설정한 후 요청을 전달합니다.
4. 기술자 사용자를 선택하고 “Apply”를 클릭합니다.
5. C:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext 디렉터리 아래에 amd64라는 디렉터리가 생성됩니다. 기술자 사용자는 amd64 디렉터리에 대한 Full control 권한을 가집니다.
6. 리버스 셸을 얻기 위해 악성 sunmscapi.dll 또는 sunec.dll (this DLL could cause the ADManager Plus application to fail to start) DLL 파일을 생성합니다.
7. 기술자 사용자로 ADManager가 설치된 서버에 로그인합니다. DLL 파일을 C:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext\amd64에 복사합니다. 일반적인 조건에서는 권한 부족으로 인해 사용자가 C:\Program Files\ManageEngine\ADManager Plus\jre\lib\ext\ 디렉터리 아래에 파일을 복사할 수 없습니다. 그러나 사용자는 임의 디렉터리 생성 취약점을 악용하여 “amd64” 디렉터리 아래에 쓰기 권한을 얻고 이러한 파일을 복사할 수 있습니다.
8. ADManager가 다시 시작된 후 DLL 파일이 실행되고 높은 권한으로 리버스 셸을 얻게 됩니다.

PoC 세부 정보

https://docs.unsafe-inline.com/0day/admanager-plus-build-less-than-7230-elevation-of-privilege-vulnerability