CVE-2020-10665 Docker Desktop 로컬 권한 상승

Docker Desktop 로컬 권한 상승에 대한 POC입니다. https://www.activecyber.us/activelabs/docker-desktop-local-privilege-escalation-cve-2020-10665의 분석 글을 기반으로 제작되었습니다.

하드링크 생성은 https://github.com/googleprojectzero/symboliclink-testing-tools에서 가져와 적용했습니다.

이 익스플로잇은 Everyone 그룹에 C:\\Windows\\System32\\DriverStore\\FileRepository\\prnms003.inf_amd64_a337db27fa50b915\\Amd64\\PrintConfig.dll 파일에 대한 모든 권한을 부여합니다. 다른 파일에 영향을 주려면 CVE-2020-10665/CVE-2020-10665.cpp의 LPCWSTR dllPath = L"C:\\Windows\\System32\\DriverStore\\FileRepository\\prnms003.inf_amd64_a337db27fa50b915\\Amd64\\PrintConfig.dll"; 줄을 변경하면 됩니다.

PrintConfig.dll를 덮어씀으로써 공격자는 https://decoder.cloud/2019/11/13/from-arbitrary-file-overwrite-to-system/의 단계를 기반으로 임의 파일 덮어쓰기를 SYSTEM 접근 권한으로 상승시킬 수 있습니다. 해당 글의 xps.ps1 스크립트를 수정하여 대상 시스템의 일치하는 PrintConfig.dll 경로를 가리키도록 하고, 자체 리버스 셸 페이로드 DLL을 생성해야 합니다.

영향을 받는 제품

• Docker Desktop Enterprise 2.1.0.9 이전 버전
• Docker Desktop for Windows Stable 2.2.0.4 이전 버전
• Docker Desktop for Windows Edge 2.2.2.0 이전 버전

2020년 3월 Windows 누적 업데이트에서 도입된 하드링크 완화 조치로 인해 이 익스플로잇은 이전 버전의 Windows에서만 작동합니다.