CVE-2024-27462

Wondershare MobileTrans 4.5.6 - Неэкранированный путь службы

Описание:

Wondershare Filmora версии 4.5.6 и ниже содержит несколько неэкранированных путей служб, что позволяет злоумышленникам повышать привилегии до уровня системы.

Затронутые службы

WsAppService3: путь к исполняемому файлу службы C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe ElevationService: путь к исполняемому файлу службы C:\Program Files (x86)\Wondershare\MobileTrans\ElevationService.exe

Разрешения служб

C:\Windows\system32>cmd /c wmic service get name,displayname,pathname,startmode |findstr /i "auto" |findstr /i /v "c:\windows\\" |findstr /i /v """
Wondershare Driver Install Service help              ElevationService        C:\Program Files (x86)\Wondershare\MobileTrans\ElevationService.exe 	Auto
Wondershare Application Update Service 3.0           WsAppService3           C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe 	Auto

C:\Windows\system32>sc qc WsAppService3
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: WsAppService3
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : Wondershare Application Update Service 3.0
        DEPENDENCIES       : RPCSS
        SERVICE_START_NAME : LocalSystem

C:\Windows\system32>sc qc ElevationService
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: ElevationService
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\Program Files (x86)\Wondershare\MobileTrans\ElevationService.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : Wondershare Driver Install Service help
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem

Вектор атаки

Если вредоносный пользователь имеет права на запись в любой из путей, содержащих пробелы, он может поместить вредоносный исполняемый файл в эту папку и выполнить код с правами SYSTEM. Например, предположим, у нас есть пользователь с низкими привилегиями и правами на запись в C:, тогда мы можем поместить вредоносный исполняемый файл Program.exe по пути C:, и после перезагрузки служба выполнит полезную нагрузку с правами SYSTEM.

Обнаружено:

• Fabrizio Noviello из Deloitte Belgium
• Alaa Kachouh