CVE-2024-0670 — Повышение привилегий через восстановление MSI агента CheckMK (NanoCorp HTB)

Этот репозиторий содержит скрипт PowerShell, используемый для эксплуатации CVE-2024-0670 на машине NanoCorp с Hack The Box. Уязвимость позволяет пользователю с низкими привилегиями злоупотребить функциональностью восстановления MSI агента CheckMK для Windows и выполнить произвольные команды с привилегиями SYSTEM.

Примечание: Этот эксплойт был разработан для машины NanoCorp с Hack The Box и может потребовать доработки перед использованием в других средах.

Отказ от ответственности: Этот репозиторий предоставлен исключительно в образовательных целях и для авторизованного тестирования безопасности. Используйте его только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

Использование

Предварительные требования

• RunasCs.exe (используется для выполнения команд от имени другого пользователя)

Быстрый старт

1. Загрузите RunasCs.exe — требуется для запуска эксплойта от имени пользователя web_svc.

2. Выполните скрипт от имени пользователя web_svc:

   root@kitploit:~

   .\RunasCs.exe "web_svc" "YourWebSvcPassword" "powershell -ExecutionPolicy Bypass -File C:\ProgramData\CVE-2024-0670-NanoCorp.ps1"
   

3. Дождитесь завершения процесса восстановления MSI. Это может занять несколько минут.

4. По завершении скрипт выведет учётные данные для только что созданной локальной учётной записи администратора:

   root@kitploit:~

   A new User added as administrator with the following credentials: dfdxarjy Password123@
   

5. Проверьте успешное повышение привилегий:

   root@kitploit:~

   nxc smb nanocorp.htb -u "dfdxarjy" -p "Password123@" -k
   

   Ожидаемый вывод:

   root@kitploit:~

   [+] nanocorp.htb\dfdxarjy:Password123@ (Pwn3d!)
   

---

Описание

Уязвимость позволяет пользователю с низкими привилегиями (например, web_svc) повысить привилегии до NT AUTHORITY\SYSTEM, злоупотребив функциональностью восстановления Windows Installer, используемой агентом CheckMK.

Скрипт выполняет следующие действия:

1. Находит установленный MSI-пакет CheckMK в целевой системе.
2. Записывает пакетный файл в C:\Windows\Temp, содержащий команды для создания локальной учётной записи пользователя.
3. Запускает восстановление MSI-пакета с помощью msiexec /fa.
4. Процесс восстановления выполняет пакетный файл с привилегиями SYSTEM.
5. Пакетный файл создаёт локальную учётную запись администратора, добавляя пользователя в локальную группу Administrators.
6. Временные файлы удаляются после выполнения.

---

Ссылки

• CVE-2024-0670
• CheckMK Windows Agent MSI Repair Privilege Escalation