CVE-2024-37726 MSI Center Escalação de Privilégio Local - Vulnerabilidade de Sobrescrita Arbitrária de Arquivos

Resumo da Vulnerabilidade

Uma vulnerabilidade de escalação de privilégio local no sistema operacional Windows foi identificada nas versões <= 2.0.36.0 do MSI Center, que permite a um usuário com privilégios baixos sobrescrever ou excluir arbitrariamente arquivos críticos e de alto privilégio em um sistema. Essa vulnerabilidade é causada pelo aplicativo MSI Center executando com privilégios de NT AUTHORITY\SYSTEM e gravando o arquivo em um diretório controlado por usuário de baixo privilégio, o que permite a um usuário com privilégios baixos manipular o sistema de arquivos com symlink e enganar o aplicativo para gravar ou sobrescrever arquivos em locais arbitrários.

Detalhes da Vulnerabilidade

A vulnerabilidade é acionada quando um usuário com privilégios baixos cria um diretório e define um OpLock em um arquivo dentro desse diretório. O usuário pode então utilizar a função "Export System Info" no MSI Center para acionar uma operação de gravação de arquivo no arquivo com OpLock. Enquanto o OpLock estiver ativo, o usuário pode mover o arquivo original e criar uma junção (junction) para um arquivo de destino, permitindo que o aplicativo MSI Center sobrescreva ou exclua o arquivo de destino com privilégios de SYSTEM.

Passos para Reproduzir

1. Crie um diretório com um único arquivo (por exemplo, C:\Users\Public\eop\12345.txt).
2. Defina um OpLock no arquivo 12345.txt.
3. Escolha a função "Export System Info" no MSI Center e selecione o arquivo com OpLock para acionar uma operação de gravação de arquivo.
4. Os processos MSI Center.exe e MSI.CentralServer.exe serão pausados devido ao OpLock.
5. Mova o 12345.txt para esvaziar o diretório.
6. Crie uma junção do diretório original para um local de destino (por exemplo, GLOBAL\GLOBALROOT\RPC Control\12345.txt).
7. Crie um link simbólico do local de destino para o arquivo de destino (por exemplo, C:\Windows\lsasetup.log).
8. Libere o OpLock.
9. Exclua o link simbólico.
10. O arquivo de destino (por exemplo, C:\Windows\lsasetup.log) será excluído e sobrescrito.

Escalação de Privilégios

Podemos criar e instalar o programa sem direitos de administrador, instalá-lo em qualquer lugar em que o usuário de baixo privilégio tenha acesso de gravação. Como a saída contém o nome do programa instalado, podemos abusar do nome do programa e gravar o resultado em C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\backdoor.bat. Sempre que um administrador fizer login, ele executará nosso payload e causará escalação de privilégio.

Certifique-se de usar o MsiInfo.exe para remover o requisito de administrador da instalação.

C:\Program Files (x86)\Windows Kits\10\bin\10.0.17763.0\x86\MsiInfo.exe "D:\tools\MSI Center EOP\t& calc.exe &\Release\t& calc.exe &.msi" -w 10

Passos da Escalação de Privilégios

1. Com um usuário de baixo privilégio, crie e instale o programa com o payload como nome do programa.

2. Execute o PoC novamente, mas aponte o link para C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\calc.bat

3. Observe que nosso payload foi incluído na saída.

4. Abusando dos recursos de autorun, quando um administrador fizer login, podemos fazê-lo executar código arbitrário.

Impacto

Uma exploração bem-sucedida dessa vulnerabilidade permite que um usuário com privilégios baixos sobrescreva ou exclua arbitrariamente arquivos críticos do sistema, levando a uma potencial escalação de privilégios. Isso pode resultar no comprometimento total do sistema.

Referência

https://csr.msi.com/global/product-security-advisories

Observação

Uma nova versão (2.0.38.0) foi lançada em 3/7/2024 e corrigiu a vulnerabilidade.