N-Able Take Control Agent の重大度の高い脆弱性を利用して、Windows システムの権限を昇格できる可能性がある

ソースコードのセキュリティを重視し、国内外の最新情報を収集！

編集者: コードガード

N-Able の Take Control Agent には重大度の高い脆弱性 (CVE-2023-27470) が存在し、ローカルの低権限の攻撃者が Windows システム権限を取得するために悪用される可能性があります。

この脆弱性の CVSS スコアは 8.8 で、TOCTOU 条件付き競合の脆弱性に関連しています。悪用に成功すると、Windows システム上の任意のファイルを削除するために使用される可能性があります。この脆弱性はバージョン 7.0.41.1141 以下に影響し、2023 年 3 月 15 日に 7.0.43 で修正されました。

TOCTOU 脆弱性は、プログラムが特定の値のリソース状態をチェックするが、その値が実際に使用される前に変更されるため、チェックが無効になる場合に発生します。このような脆弱性を悪用すると、整合性が失われ、プログラムが本来実行すべきでない動作を実行するように仕向けられ、脅威アクターが不正なリソースにアクセスできるようになります。

CWE Systems は、「攻撃者が検査から使用までの間にリソースの状態に影響を与える可能性がある場合、この脆弱性はセキュリティに関連している可能性があります。これは、ファイル、メモリ、さらにはマルチスレッドプログラムの変数などの共有リソースを通じて発生する可能性があります。」と述べています。」

Mandiant 氏は、CVE-2023-27470 は、複数の条件付き削除イベント (aaa.txt や bbb.txt という名前のファイルなど) と「C:\ProgramData\GetSupportService_N-Central\PushUpdates」という名前の特定のファイルをログに記録することによって引き起こされると述べました。フォルダーの各削除操作間の Take Control Agent (BASupSrvcUpdater.exe) の競合状態によって発生します。つまり、BASupSrvcUpdater.exe が aaa.txt の削除をログに記録すると、攻撃者は bbb.txt ファイルをシンボリックリンクに置き換えて、プロセスをシステム上の任意のファイルにリダイレクトすることができます。この操作により、プロセスが NT AUTHORITY\SYSTEM 内のファイルを誤って削除する可能性があります。

さらに厄介なことに、この任意のファイルの削除は、Windows インストーラーのロールバック機能に対する条件付き競合攻撃を悪用して、管理者特権のコマンドプロンプトを保護するために使用される可能性があり、コード実行の結果につながる可能性があります。任意のファイル削除の悪用は、サービス拒否攻撃に限定されなくなり、昇格されたコード実行の結果として発生する可能性があります。Oliveau氏は、この種のエクスプロイトは「MSIのロールバック機能と組み合わせて任意のファイルをシステムに導入する」可能性があると述べた。

セキュリティで保護されていないフォルダー内の一見無害なログ記録および削除イベントプロセスにより、攻撃者が擬似シンボリックリンクを作成し、昇格されたプロセスをだまして意図しないファイルに対する操作を実行させる可能性があります。

Code Guard トライアルアドレス: https://codesafe.qianxin.com

オープンソースガードのトライアルアドレス: https://oss.qianxin.com

推奨読書

重大度の高い Kubernetes の複数の脆弱性を利用して、Windows エンドポイントに対するリモート攻撃が実行される可能性がある

新しい Windows?! Apple、悪用された新しい 0day を修正

GitHub 上の偽の 0day PoC が Windows および Linux マルウェアをプッシュする

Windowsの脆弱性は10年間パッチされておらず、3CXサプライチェーン攻撃は世界中の60万社以上に影響

Zoom、WindowsおよびMacOSプラットフォーム上の複数の重大度の高い脆弱性を修正

元のリンク

https://thehackernews.com/2023/09/n-ables-take-control-agent.html

タイトル画像: Pixabayライセンス