CVE-2024-0670 – CheckMK Agent 中的本地权限提升（PowerShell 概念验证）

摘要

本仓库提供了一个针对 CVE-2024-0670 的独立 PowerShell 概念验证，这是 CheckMK Agent 中的一个 Windows 本地权限提升漏洞。该漏洞允许低权限本地用户通过利用 MSI 修复过程中可预测的命令文件执行来提升至 NT AUTHORITY\SYSTEM。

此实现是对 elsevar11 在 CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit 公开的 PoC 的衍生分析；它复用了核心概念，同时提供了简化的利用逻辑。

原始参考：
https://github.com/elsevar11/CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit/blob/main/exploit.ps1

漏洞概要

• 厂商： Tribe29 / CheckMK
• CVE： CVE-2024-0670
• 严重性： 高危（CVSS 8.8）
• 类型： 本地权限提升
• 根本原因： MSI 修复过程中不受控制的搜索路径，且存在攻击者可控制的文件。

在 MSI 修复期间，安装程序会以可预测的文件名执行 C:\Windows\Temp 中的文件。非特权用户可预先植入受控制的载荷，这些载荷随后将以提升的权限执行。

内容

要求

• 已安装 CheckMK Windows Agent 的 Windows 机器
• 非特权本地用户账户
• PowerShell（执行策略允许脚本执行）
• 能够写入 C:\Windows\Temp\
• 反向 shell 监听器（可选，用于载荷）

配置（exploit.ps1）

根据需要调整以下参数：

$LHOST  # 攻击者 IP
$LPORT  # 攻击者端口
$NcPath # 载荷路径（例如 nc.exe）
$MinPID # 文件植入的下界
$MaxPID # 文件植入的上界

使用方法

1. 在攻击主机上启动一个监听器：

nc -lvnp <PORT>

2. 从低权限账户运行利用脚本：

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\exploit.ps1

如果利用成功，将向监听器返回 SYSTEM shell。

致谢

本利用方法——枚举 MSI 包、植入可预测的文件名以及调用 MSI 修复——参考了 elsevar11 在 GitHub 上最初发布的 PoC。本仓库将该逻辑改写为另一种 PowerShell 形式，以便于清晰理解和研究复现。

法律声明

此代码仅供教育、防御工程及授权测试使用。未经明确许可在系统上使用属违法行为。作者不对滥用或法律后果承担任何责任。

许可

本仓库以 MIT 许可证发布。