CVE-2024-27673

ASUS Control Center Express =< 01.06.15 - 未引用的服务路径

描述：

ASUS Control Center Express 版本 =< 01.06.15 包含一个未引用的服务路径，攻击者可利用该路径将权限提升至系统级别。 假设攻击者对 C:\ 具有写入权限，他们可以滥用 Asus 服务“Apro console service”/apro_console.exe，在重启该服务时，将以 SYSTEM 权限调用 C:\Program.exe。

该服务的二进制路径本身不易受影响，但在启动时，它将作为 SYSTEM 执行 C:\program.exe。

受影响的服务

服务名称：AProConsoleService

受影响的二进制文件：apro_console.exe

program.exe

风险

在系统配置不当的情况下，如果低权限用户能够写入 C:\ 目录，他们可以利用该目录将权限提升至 SYSTEM。

发现者：

Alaa Kachouh