CVE-2024-0670 – Повышение привилегий в агенте CheckMK (PowerShell PoC)

Аннотация

В этом репозитории представлена независимая proof-of-concept реализация на PowerShell для CVE-2024-0670 — уязвимости локального повышения привилегий в Windows-агенте CheckMK. Уязвимость позволяет локальному пользователю с низкими привилегиями повысить их до NT AUTHORITY\SYSTEM, эксплуатируя предсказуемое выполнение командных файлов во время процесса восстановления MSI.

Данная реализация является производным анализом общедоступного PoC от elsevar11 в репозитории CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit; она использует базовые концепции, предлагая при этом упрощённую логику эксплуатации.

Оригинальная ссылка:
https://github.com/elsevar11/CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit/blob/main/exploit.ps1

Сводка по уязвимости

• Вендор: Tribe29 / CheckMK
• CVE: CVE-2024-0670
• Серьёзность: Высокая (CVSS 8.8)
• Тип: Локальное повышение привилегий
• Корневая причина: Неконтролируемый путь поиска при восстановлении MSI с использованием файлов, контролируемых атакующим.

Во время восстановления MSI установщик выполняет файлы в C:\Windows\Temp с предсказуемыми именами. Непривилегированный пользователь может заранее разместить контролируемые полезные нагрузки, которые впоследствии будут выполнены с повышенными привилегиями.

Содержимое

Требования

• Windows-машина с установленным Windows-агентом CheckMK
• Локальная учётная запись пользователя без привилегий
• PowerShell (политика выполнения, разрешающая запуск скриптов)
• Возможность записи в C:\Windows\Temp\
• Reverse shell listener (опционально, для полезных нагрузок)

Конфигурация (exploit.ps1)

При необходимости измените следующие параметры:

$LHOST  # IP-адрес атакующего
$LPORT  # Порт атакующего
$NcPath # Путь к полезной нагрузке (например, nc.exe)
$MinPID # Нижняя граница для заполнения файлов
$MaxPID # Верхняя граница для заполнения файлов

Использование

1. Запустите прослушивание на машине атакующего:

nc -lvnp <PORT>

2. Запустите эксплойт из учётной записи с низкими привилегиями:

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\exploit.ps1

При успешной эксплуатации shell с правами SYSTEM будет отправлен обратно на ваш listener.

Атрибуция

Подход к эксплуатации — перечисление MSI-пакетов, заполнение предсказуемых имён файлов и вызов восстановления MSI — основан на изначально опубликованном PoC от elsevar11 на GitHub. Этот репозиторий адаптирует указанную логику в альтернативную формулировку PowerShell для ясности и воспроизводимости исследований.

Правовое уведомление

Данный код предоставлен исключительно в образовательных целях, для защитного инжиниринга и авторизованного тестирования. Использование против систем без явного разрешения незаконно. Автор не несёт ответственности за неправомерное использование или юридические последствия. Лицензия

Данный репозиторий выпущен под лицензией MIT.