설명

• 이 PoC 프로그램은 비특권 사용자가 파일과 폴더를 삭제할 수 있게 해주는 ioctl을 노출하는 IMFForceDelete 드라이버를 악용합니다. 우리는 ZDI와 Halov가 설명한 기법을 사용하여 이를 권한 상승으로 전환할 수 있는데, 이 기법은 문제 발생 시 시스템 무결성을 유지하도록 설계된 MSI 롤백 메커니즘을 악용합니다. 약한 DACL과 가짜 RBF 및 RBS 파일로 이를 삭제하고 재생성함으로써 NT AUTHORITY\SYSTEM으로서 시스템에 임의 변경을 가할 수 있는 능력을 얻게 됩니다.

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

NOTE

• 수정되었는지 아닌지 모르겠습니다. PoC를 게시한 시점에는 여전히 수정되지 않은 상태였습니다. 임의 파일/폴더 삭제는 이미 다른 연구자에 의해 보고되었고 벤더도 알고 있었지만 수정하지 않았습니다. 저는 단지 그다지 멋지지 않은 버그를 더 높은 영향을 미치는 훨씬 멋진 버그로 승격시켰을 뿐입니다. 아래 라이트업을 참조하세요.

Write-up

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

CREDITS

• Halov
• ZDI
• vx-underground and #ifndef hjonk