UserManagerEoP / CVE-2024-21447

Эксплойт ‎UserManager‏ ‎EoP нацелен ‎на ‎уязвимость, ‎идентифицированную ‎как‏ ‎CVE-2023-36047, ‎которая‏ ‎позже‏ ‎была ‎отслежена ‎как‏ ‎CVE-2024-21447 ‎после‏ ‎дополнительных ‎исправлений ‎Microsoft.

Эксплойт ‎UserManager‏ ‎EoP

📌Обнаружение‏ ‎уязвимости: Эксплойт ‎был‏ ‎обнаружен ‎владельцем‏ ‎репозитория ‎в ‎прошлом ‎году ‎и‏ ‎влияет‏ ‎на ‎работу‏ ‎службы ‎UserManager‏ ‎в ‎Windows.

📌Характер ‎уязвимости: ‎Уязвимость ‎заключается‏ ‎в‏ ‎том,‏ ‎что ‎служба‏ ‎UserManager ‎неправильно‏ ‎копирует ‎файлы‏ ‎из‏ ‎каталога, ‎которым‏ ‎может ‎управлять ‎пользователь, ‎что ‎приводит‏ ‎к ‎повышению‏ ‎уровня‏ ‎привилегий ‎(EoP).

📌Частичное ‎исправление‏ ‎и ‎повторное‏ ‎использование: ‎Изначально ‎Microsoft ‎обращалась‏ ‎только‏ ‎к ‎аспекту‏ ‎записи ‎в‏ ‎операции ‎копирования ‎файлов. ‎Однако ‎операция‏ ‎чтения‏ ‎продолжала ‎выполняться‏ ‎с ‎правами‏ ‎доступа ‎NT ‎AUTHORITY\SYSTEM, ‎что ‎не‏ ‎было‏ ‎защищено‏ ‎в ‎первом‏ ‎обновлении.

📌Механизм ‎эксплойта:‏ ‎Эксплойт ‎использует‏ ‎незащищенную‏ ‎операцию ‎чтения‏ ‎для ‎доступа ‎к ‎критически ‎важным‏ ‎системным ‎файлам,‏ ‎таким‏ ‎как ‎SAM, ‎SYSTEM‏ ‎и ‎SECURITY‏ ‎hives, ‎из ‎теневой ‎копии.

📌Текущее‏ ‎состояние: Недавно‏ ‎корпорация ‎Майкрософт‏ ‎полностью ‎устранила‏ ‎уязвимость, ‎и ‎теперь ‎она ‎занесена‏ ‎в‏ ‎каталог ‎под‏ ‎новым ‎идентификатором‏ ‎CVE-2024-21447.

Анализ ‎кода

В ‎репозитории ‎GitHub ‎содержится‏ ‎код‏ ‎эксплойта,‏ ‎который ‎демонстрирует,‏ ‎как ‎манипулировать‏ ‎обработкой ‎файлов‏ ‎службой‏ ‎UserManager ‎для‏ ‎повышения ‎привилегий.

📌Идентификация ‎уязвимых ‎операций: код ‎для‏ ‎идентификации ‎и‏ ‎нацеливания‏ ‎на ‎конкретную ‎уязвимую‏ ‎операцию ‎чтения,‏ ‎выполняемую ‎UserManager.

📌Использование ‎уязвимости: ‎скрипты‏ ‎или‏ ‎команды, ‎которые‏ ‎манипулируют ‎файловыми‏ ‎операциями ‎для ‎перенаправления ‎или ‎доступа‏ ‎к‏ ‎несанкционированным ‎данным.

📌Использование‏ ‎системных ‎привилегий:‏ ‎Использование ‎повышенных ‎привилегий, ‎полученных ‎с‏ ‎помощью‏ ‎эксплойта,‏ ‎для ‎выполнения‏ ‎несанкционированных ‎действий,‏ ‎таких ‎как‏ ‎доступ‏ ‎к ‎системным‏ ‎файлам ‎и ‎настройкам ‎или ‎их‏ ‎изменение.