Descrição

O programa PoC explora o driver IMFForceDelete, que expõe um ioctl que permite a usuários sem privilégios excluir arquivos e pastas. Podemos transformar isso em uma escalada de privilégios usando uma técnica explicada pela ZDI e por Halov, que explora o mecanismo de rollback do MSI, projetado para manter a integridade do sistema em caso de problemas. Ao excluí-lo e recriá-lo com uma DACL fraca e arquivos RBF e RBS falsos, podemos obter a capacidade de fazer alterações arbitrárias no sistema como NT AUTHORITY\SYSTEM.

VID

Não tenho ideia se foi corrigido ou não. No momento da publicação do PoC, ainda não havia sido corrigido. A exclusão arbitrária de arquivos/pastas já havia sido reportada por outro pesquisador e era conhecida pelo fornecedor, e eles não a corrigiram; eu apenas a escalei de um bug não tão interessante para um bug muito mais interessante com um impacto maior, veja o write-up abaixo.