CVE-2024-54910

https://www.cve.org/CVERecord?id=CVE-2024-54910

В этом документе рассматривается уязвимость, которая позволяет выполнять произвольную запись в файлы, что приводит к повышению привилегий в системе Windows, где установлен Hasleo Backup Suite Free <= 4.9.4. Демонстрируется, как операции восстановления резервных копий в сочетании с символическими ссылками и действиями пользователя с низкими привилегиями могут перезаписывать критически важные системные файлы или размещать вредоносные исполняемые файлы в чувствительных каталогах, что позволяет злоумышленникам получить административный доступ. Методология разделена на два этапа: эксплуатация уязвимости записи в файл и повышение привилегий путём размещения вредоносной полезной нагрузки в папке автозагрузки Windows.

Затронутая версия: Hasleo Backup Suite Free <= 4.9.4

Характеристики хоста: Microsoft Windows 10 Pro 64-bit 10.0.19045

Произвольная запись в файл Проверяя права на файлы при восстановлении резервной копии, я заметил, что файл записывается с правами администратора в любое указанное нами место, создавая полный путь к файлу, например C+\остальная_часть_пути. Мы будем выполнять каждый шаг как пользователь с низкими привилегиями.

Шаги для воспроизведения:

• Сначала создаём файл в C:\Temp
• Затем создаём резервную копию этого файла от имени пользователя «little». Мы также размещаем файл в C:\Temp, но это не имеет особого значения.
• Теперь создаём символическую ссылку в пустой папке, которую мы создали в C:, так как для создания папок в C:\ не требуются права администратора. Папка будет называться C:\C+
• Открываем символическую ссылку: C:\SymbolicLinks\CreateSumlink.exe C:\C+\Temp\Copyme.txt C:\Windows\Copyme.txt
• Теперь хотим восстановить созданную резервную копию. Выбираем файл, который хотим записать в C:\Windows, и меняем путь вывода на C:\ (Перед нажатием кнопки создадим от имени администратора файл Copyme.txt с содержимым «I'm not vulnerable» в C:\Windows)
• Затем нажимаем кнопку «Далее». Теперь мы успешно перезаписали файл, созданный нами от имени администратора

Чтобы повысить свои привилегии, мы можем, например, разместить исполняемый файл в папке автозагрузки Windows:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hasleo Backup Suite>C:\SymbolicLinks\CreateSymlink.exe C:\C+\Temp\pwned.exe "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe"

Opened Link \RPC Control\pwned.exe -> ??\C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FULLPWN.exe: 00000138 Press ENTER to exit and delete the symlink