CVE-2024-27518 - PoC de LPE no SUPERAntiSpyware Professional X

Esta vulnerabilidade foi descoberta e divulgada por M. Akil Gündoğan, da Secunnix Vulnerability Research Team. Este repositório conterá a prova de conceito e os advisories.

Detalhes:

• Produto: SUPERAntiSpyware Professional X e todas as edições.
• Versões afetadas: <=10.0.1262 e a versão mais recente 10.0.1264
• ID do CVE: CVE-2024-27518
• Sistema Operacional: Todas as versões suportadas do Windows, testado no Windows 10 Pro
• Estado: Divulgação responsável pública.
• Data de lançamento: 03.04.2024

Descrição da Vulnerabilidade:

SUPERAntiSpyware Professional X 10.0.1262 é vulnerável a elevação de privilégio local porque permite que usuários sem privilégios restaurem uma DLL maliciosa da quarentena para a pasta "C:\Program Files\SUPERAntiSpyware" por meio de uma junção de diretório NTFS, como demonstrado por um arquivo version.dll especialmente criado e detectado como malware. Como o SASCore64.exe possui uma vulnerabilidade de DLL Hijacking para "version.dll", um shell é obtido como NT AUTHORITY\SYSTEM após a reinicialização do sistema.

Detalhes técnicos e Prova de Conceito (PoC) passo a passo:

• 1 - Um arquivo version.dll malicioso contendo shellcode é criado.
• 2 - Se o version.dll gerado contendo shellcode ainda não for detectado pelo SUPERAntiSpyware, ele é combinado com outro arquivo malicioso em ".zip" usando o comando copy /b version_created.dll + malicious.zip version.dll para ser detectado como malicioso. Dessa forma, o arquivo ".dll" criado pode ser detectado como malicioso pelo SUPERAntiSpyware e colocado em quarentena.
• 3 - Crie uma nova pasta e copie o version.dll preparado para dentro dela. Em seguida, a pasta é verificada e o SUPERAntiSpyware coloca a DLL em quarentena.
• 4 - Usando o CreateMountPoint.exe entre as ferramentas "Symbolic Link Testing" fornecidas pelo Google, o caminho onde o version.dll está em quarentena é montado no diretório C:\Program Files\SUPERAntiSpyware. Essas ferramentas estão disponíveis no seguinte link (https://github.com/googleprojectzero/symboliclink-testing-tools) ou você pode usar o comando mklink para fazer o mesmo.
• 5 - Quando o "version.dll" em quarentena é restaurado, ele é copiado para o diretório do SUPERAntiSpyware. Após a reinicialização do sistema, o SASCore64.exe executará o shellcode em "version.dll" e abrirá uma sessão com privilégios de NT AUTHORITY\SYSTEM para o atacante.

Vídeo:

Mitigações:

Infelizmente, não está disponível. Recomendamos desinstalar o SUPERAntiSpyware até que a vulnerabilidade seja corrigida.

Linha do tempo:

• 18.02.2024 - Vulnerabilidade relatada por e-mail, mas o fornecedor se recusou a corrigi-la.
• 03.04.2024 - Divulgação completa.

Referências:

• Fornecedor: https://www.superantispyware.com/
• CVE: https://www.cve.org/CVERecord?id=CVE-2024-27518