CVE-2026-9789

ID do CVE: CVE-2026-9789
Pesquisador: Vo Duc Thang (ugvxb)
Agradecimento: https://community.acer.com/en/kb/articles/19670
Vídeo POC: https://drive.google.com/file/d/1B8b42bE68CWMnlqG6eJWi0txGFsHAJZc/view?usp=sharing

1. Resumo Executivo

Uma vulnerabilidade crítica de escalação de privilégio local foi descoberta no software Acer NitroSense (PSAdminAgent.exe). A vulnerabilidade permite que qualquer usuário local autenticado exclua arquivos arbitrários com privilégios de SYSTEM, potencialmente levando ao comprometimento completo do sistema por meio da bypass de software de segurança.

2. Detalhes da Vulnerabilidade

2.1 Visão Geral

O serviço PSAdminAgent.exe cria um pipe nomeado com uma Lista de Controle de Acesso (ACL) excessivamente permissiva que permite que qualquer usuário autenticado se conecte e envie comandos. O serviço processa comandos de exclusão de arquivos sem validar os privilégios do chamador ou restringir os caminhos de destino. Como o serviço é executado com privilégios de SYSTEM, isso permite que qualquer usuário local exclua arquivos arbitrários como SYSTEM.

2.2 Análise da Causa Raiz

Problema 1: ACL Fraca do Pipe Nomeado

O pipe nomeado é criado com a seguinte string SDDL (Security Descriptor Definition Language):

D:(A;OICI;GA;;;BG)(D;OICI;GA;;;AN)(A;OICI;GRGWGX;;;AU)(A;OICI;GA;;;BA)

Decodificado:

Problema 2: Sem Validação de Caminho

O manipulador do comando delete_file passa caminhos fornecidos pelo usuário diretamente para a API Windows DeleteFileW sem qualquer validação ou restrição.

Problema 3: Sem Autenticação do Chamador

O serviço não verifica se o cliente conectado é um aplicativo Acer autorizado, permitindo que qualquer processo envie comandos.

3. Comandos Afetados

Com base na análise de engenharia reversa, o seguinte comando é confirmado como explorável:

3.1 Localizações de Funções Vulneráveis (PSAdminAgent.exe)

3.2 Localização da String SDDL

Endereço: 0x140059810

D:(A;OICI;GA;;;BG)(D;OICI;GA;;;AN)(A;OICI;GRGWGX;;;AU)(A;OICI;GA;;;BA)

3.3 Tabela de Despacho de Comandos

Endereço: 0x140057950

[0x00] -> 0x140009080
[0x01] -> 0x140009310
[0x02] -> 0x1400093a0
[0x03] -> 0x1400094e0  (delete_file) <- VULNERÁVEL CONFIRMADO
[0x04] -> 0x140009610
[0x05] -> 0x1400097c0
...
[0x0E] -> 0x14000a950

3.4 Caminho de Código Vulnerável Confirmado

PSAdminAgent.exe
    -> Pipe Nomeado: \\.\pipe\PredatorSense_admin_agent_X
        -> Manipulador de Comandos (0x140008d14)
            -> CMD 0x0003: delete_file (0x1400094e0)
                -> DeleteFileW(caminho_fornecido_pelo_usuário)  <- SEM VALIDAÇÃO

4. Avaliação de Risco

4.1 Pontuação CVSS v4.0

5. Referências

• CWE-732: https://cwe.mitre.org/data/definitions/732.html
• CWE-284: https://cwe.mitre.org/data/definitions/284.html
• CWE-22: https://cwe.mitre.org/data/definitions/22.html
• CWE-269: https://cwe.mitre.org/data/definitions/269.html

6. Aviso Legal

Este POC é apenas para fins educacionais e de pesquisa de segurança autorizada. O autor não se responsabiliza por qualquer uso indevido. A exploração sem autorização é ilegal.