CVE-2024-27518 - SUPERAntiSpyware Professional X LPE PoC

Эта уязвимость была обнаружена и раскрыта М. Акилом Гюндоганом из Secunnix Vulnerability Research Team. В этом репозитории будут храниться доказательство концепции и рекомендации.

Детали:

• Продукт: SUPERAntiSpyware Professional X и все редакции.
• Затронутые версии: <=10.0.1262 и последняя версия 10.0.1264
• ID CVE: CVE-2024-27518
• Операционная система: Все поддерживаемые версии Windows, протестировано на Windows 10 Pro
• Статус: Публичное ответственное раскрытие.
• Дата публикации: 03.04.2024

Описание уязвимости:

SUPERAntiSpyware Professional X 10.0.1262 уязвим к локальному повышению привилегий, поскольку позволяет непривилегированным пользователям восстанавливать вредоносную DLL из карантина в папку "C:\Program Files\SUPERAntiSpyware" через NTFS-соединение каталогов, что продемонстрировано на примере специально созданного файла version.dll, который обнаруживается как вредоносное ПО. Так как SASCore64.exe имеет уязвимость перехвата DLL для "version.dll", после перезагрузки системы получается оболочка с правами NT AUTHORITY\SYSTEM.

Технические детали и пошаговая концепция доказательства (PoC):

• 1 - Создается вредоносный файл version.dll, содержащий shell-код.
• 2 - Если сгенерированный version.dll с shell-кодом ещё не обнаруживается SUPERAntiSpyware, он объединяется с другим вредоносным файлом в ".zip" с помощью команды copy /b version_created.dll + malicious.zip version.dll, чтобы быть обнаруженным как вредоносный. Таким образом, созданный файл ".dll" может быть обнаружен SUPERAntiSpyware как вредоносный и помещен в карантин.
• 3 - Создается новая папка, и подготовленный version.dll копируется в нее. Затем папка сканируется, и SUPERAntiSpyware помещает DLL в карантин.
• 4 - С помощью CreateMountPoint.exe из инструментов "Symbolic Link Testing", предоставленных Google, путь, по которому находится version.dll в карантине, монтируется в каталог C:\Program Files\SUPERAntiSpyware. Эти инструменты доступны по следующей ссылке (https://github.com/googleprojectzero/symboliclink-testing-tools), или вы можете использовать команду mklink для того же самого.
• 5 - Когда помещенный в карантин "version.dll" восстанавливается, он копируется в каталог SUPERAntiSpyware. После перезагрузки системы SASCore64.exe выполнит shell-код в "version.dll" и откроет сеанс с привилегиями NT AUTHORITY\SYSTEM для атакующего.

Видео:

Меры по смягчению:

К сожалению, они недоступны. Рекомендуем удалить SUPERAntiSpyware до тех пор, пока уязвимость не будет устранена.

Хронология:

• 18.02.2024 - Уязвимость сообщена по электронной почте, но вендор отказался её исправлять.
• 03.04.2024 - Полное раскрытие.

Ссылки:

• Вендор: https://www.superantispyware.com/
• CVE: https://www.cve.org/CVERecord?id=CVE-2024-27518