CVE-2024-0670 - Повышение привилегий через восстановление MSI агента CheckMK (NanoCorp HTB)

Этот репозиторий содержит PowerShell-скрипт, используемый для эксплуатации CVE-2024-0670 на машине NanoCorp с платформы Hack The Box. Уязвимость позволяет малопривилегированному пользователю злоупотребить функцией восстановления MSI агента CheckMK Windows и выполнить произвольные команды с привилегиями SYSTEM.

Примечание: Этот эксплойт разработан для машины NanoCorp с Hack The Box и может потребовать изменений перед использованием в других средах.

Отказ от ответственности: Этот репозиторий предоставлен в образовательных целях и для авторизованного тестирования безопасности. Используйте его только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

Использование

Предварительные требования

• RunasCs.exe (используется для выполнения команд от имени другого пользователя)

Быстрый старт

1. Загрузите RunasCs.exe — требуется для запуска эксплойта от пользователя web_svc.

2. Выполните скрипт от пользователя web_svc:

   root@kitploit:~

   .\RunasCs.exe "web_svc" "YourWebSvcPassword" "powershell -ExecutionPolicy Bypass -File C:\ProgramData\CVE-2024-0670-NanoCorp.ps1"
   

3. Дождитесь завершения процесса восстановления MSI. Это может занять несколько минут.

4. После завершения скрипт выведет учётные данные для новой локальной учетной записи администратора:

   root@kitploit:~

   A new User added as administrator with the following credentials: dfdxarjy Password123@
   

5. Проверьте успешное повышение привилегий:

   root@kitploit:~

   nxc smb nanocorp.htb -u "dfdxarjy" -p "Password123@" -k
   

   Ожидаемый вывод:

   root@kitploit:~

   [+] nanocorp.htb\dfdxarjy:Password123@ (Pwn3d!)
   

---

Описание

Уязвимость позволяет малопривилегированному пользователю (например, web_svc) повысить привилегии до NT AUTHORITY\SYSTEM, злоупотребляя функцией восстановления установщика Windows, используемой агентом CheckMK.

Скрипт выполняет следующие действия:

1. Находит установленный пакет MSI CheckMK в целевой системе.
2. Записывает пакетный файл в C:\Windows\Temp, содержащий команды для создания локальной учетной записи пользователя.
3. Запускает восстановление пакета MSI с помощью msiexec /fa.
4. Процесс восстановления выполняет пакетный файл с привилегиями SYSTEM.
5. Пакетный файл создает локальную учетную запись администратора, добавляя пользователя в локальную группу Administrators.
6. Временные файлы удаляются после выполнения.

---

Ссылки

• CVE-2024-0670
• Повышение привилегий через восстановление MSI агента CheckMK Windows