null-event/cve-2024-55968POC for DTEX LPE (CVE-2024-55968)
PoC для DTEX LPE (CVE-2024-55968)
Затронутый продукт: DEC-M (DTEX Forwarder) версии 6.1.1. DTEX — это единая платформа управления рисками инсайдеров.
Затронутый компонент: DEC-M EventReportingService XPC Helper
Вектор атаки: Было обнаружено, что служба отчетов о событиях DTEX содержит привилегированный XPC-помощник, не реализующий проверку. Злоумышленник может использовать эту логическую уязвимость для локального повышения привилегий пользователя на macOS, злоупотребляя методом submitQuery протокола DTConnectionHelperProtocol через несанкционированное XPC-соединение.
Служба com.dtexsystems.helper, отвечающая за выполнение привилегированных операций в агенте DTEX Event Forwarder для macOS, не реализует критически важную проверку клиента при межпроцессном взаимодействии (IPC) через XPC. В частности, служба не проверяет требования к коду, права доступа, флаги безопасности или версию любого клиента, пытающегося установить соединение. Отсутствие надлежащей логической проверки позволяет злоумышленникам использовать методы службы через несанкционированные клиентские подключения и повышать привилегии до root.
Paul Montgomery (@nullevent) и Waleed Barakat (@WilDN00B), TikTok USDS Red Team
