Описание

Программа PoC эксплуатирует драйвер IMFForceDelete, который предоставляет ioctl, позволяющий непривилегированным пользователям удалять файлы и папки. Мы можем превратить это в повышение привилегий, используя технику, описанную ZDI и Halov, которая эксплуатирует механизм отката MSI, предназначенный для поддержания целостности системы в случае проблем. Удалив и воссоздав его со слабым DACL и поддельными файлами RBF и RBS, мы получаем возможность вносить произвольные изменения в систему от имени NT AUTHORITY\SYSTEM.

VID

Понятия не имею, исправлено это или нет. На момент публикации PoC это всё ещё не было исправлено. О произвольном удалении файлов/папок уже сообщил другой исследователь, и вендор знал об этом, но не исправил; я лишь эскалировал это из не очень интересного бага в гораздо более интересный баг с более высоким воздействием — см. разбор ниже.