CVE-2024-54910

https://www.cve.org/CVERecord?id=CVE-2024-54910

Este documento explora uma vulnerabilidade que permite gravações arbitrárias de arquivos, levando à escalada de privilégios em um sistema Windows que tenha o Hasleo Backup Suite Free <= 4.9.4 instalado. Ele demonstra como operações de recuperação de backup, combinadas com links simbólicos e operações de usuários com baixos privilégios, podem sobrescrever arquivos críticos do sistema

ou colocar executáveis maliciosos em diretórios sensíveis, permitindo que atacantes obtenham acesso administrativo. A metodologia é dividida em duas fases: explorar a vulnerabilidade de gravação de arquivos e escalar privilégios colocando um payload malicioso na pasta de inicialização do Windows.

Versão Afetada: Hasleo Backup Suite Free <= 4.9.4

Especificações do host: Microsoft Windows 10 Pro 64-bit 10.0.19045

Gravação Arbitrária de Arquivos Ao testar as permissões de arquivos durante a recuperação de um backup, notei que o arquivo vai com privilégios de administrador para onde especificarmos, criando o caminho completo do arquivo, como C+\orestodocaminho. Desenvolveremos cada etapa como um usuário com baixos privilégios.

Passos para reproduzir:

• Primeiro, criamos o arquivo em C:\Temp
• Em seguida, criamos um novo backup deste arquivo como o usuário "little". Colocamos o arquivo em C:\Temp também, mas isso não importa realmente.
• Agora, estamos criando um link simbólico em uma pasta vazia que criamos, em C:, pois não precisamos ser administradores para criar pastas em C:\ . A pasta será C:\C+
• Abrimos o symlink: C:\SymbolicLinks\CreateSumlink.exe C:\C+\Temp\Copyme.txt C:\Windows\Copyme.txt
• Agora, queremos recuperar o backup que fizemos. Selecionamos o arquivo que queremos gravar em C:\Windows e alteramos o caminho de saída para C:\ (Antes de clicar no botão, vamos criar como administrador um arquivo Copyme.txt com o conteúdo "I'm not vulnerable" em C:\Windows )
• Em seguida, clicamos no botão next. Agora sobrescrevemos com sucesso o arquivo que criamos como administrador

Para escalar nossos privilégios, poderíamos, por exemplo, colocar um executável na pasta de inicialização do Windows:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hasleo Backup Suite>C:\SymbolicLinks\CreateSymlink.exe C:\C+\Temp\pwned.exe "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe"

Opened Link \RPC Control\pwned.exe -> ??\C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe: 00000138 Press ENTER to exit and delete the symlink