CVE-2022-38532

Escalação local de privilégios no aplicativo de desktop MSI Center.

A vulnerabilidade existe em "C_Features" do MSI.CentralServer.exe. O MSI.CentralServer.exe é um aplicativo que coleta informações sobre o seu sistema e colabora com o MSI.TerminalServer.exe. A função ExecuteTask, que podemos chamar em "CMD_AutoUpdateSDK", nos dá a chance de executar um executável com parâmetros personalizados sob privilégios administrativos. Você pode ver a porta relacionada apenas pelo localhost.

A vulnerabilidade

Você pode facilmente desmontar o MSI.CentralServer.exe usando qualquer desmontador .NET. O Central Server em si escuta na porta 32682 a partir do localhost; podemos encontrar o código-fonte do manipulador em "C_Features". Basta olhar para o recurso CMD_AutoUpdateSDK para ver a vulnerabilidade. Abusamos desse recurso (é o atualizador automático do MSI Center). Ele recebe o payload fornecido pelo usuário, divide-o em várias partes para executar o comando com parâmetros personalizados.

Esta é a função principal que nosso recurso usa para executar o PE fornecido com argumentos personalizados:

A porta em que o MSI Central Server escuta foi atualizada na versão 1.0.59.0. Ela é 32683.

POC

Você pode gerar seu próprio payload, convertê-lo em hexadecimal e executar o script no computador local. O POC cria o usuário "hacker" com a senha "hacker123" e o adiciona ao grupo Administradores.

Vídeo de Prova de Conceito: https://user-images.githubusercontent.com/64528432/188067866-f30fe089-db76-4cc0-81ce-f74871769b33.mp4