关注我们

CVE-2019-8452:Check Point VPN本地提权漏洞分析

草头薛草头薛 安全文摘 2019-06-26 521236 0

几个月前,我发现在Check Point端点安全VPN客户端中有一个DACL权限覆盖漏洞。此漏洞允许Windows系统上的任何用户Full ControlAuthenticated Users安全组的任何文件设置权限(唯一的限制是SYSTEM用户需要访问该文件的编辑权限,因此TrustedInstaller无法覆盖某些系统文件) 。

VPN客户端有两个对应部分,一个运行的Windows服务SYSTEM和一个作为当前用户运行的用户空间客户端。对于此漏洞,除了重新启动它之外,我们并不需要与服务器进行交互。但是,我确实研究了用户客户端和服务之间的通信,这是一种有趣的自定义RPC协议类型,可能很有趣。

虽然我确实单独发现了此漏洞,但我并不是第一个向Check Point报告此漏洞的人。在固定的版本发布16. 2019年4月。

漏洞描述

启动“Check Point Endpoint Security VPN”服务后,它会对所有文件的权限执行重置C:\Windows\Internet Logs。它设置的权限是Full Control对于Authenticated Users这意味着该系统上的任何用户有权限写入,读取和修改这些文件。它还提供了Full ControlInternet Logs文件夹本身。Internet Logs无论源是什么,无论文件夹中的所有文件的内容如何,都会执行此权限重置。

CVE-2019-8452:Check Point VPN本地提权漏洞分析

Windows可以创建硬链接。简单地说(并且远非实际正确)解释,硬链接是另一个文件的副本,其中在副本上执行的任何文件传播到原始文件,反之亦然。这意味着如果我们有一个指向文件的硬链接,并且我们在硬链接上设置了权限,那么这些权限在原始权限上也是相同的。但是,内置的命令行工具mklink要求创建硬链接的用户具有对“原始”文件的写访问权。Google的Project Zero的James Forshaw实际上发现这并不是一项艰难的要求。在Windows中mklink使用CreateHardlinkWAPI来强制执行写入检查,然后NtSetInformationFile在用户具有写访问权限时调用。但是,如果我们只是使用NtSetInformationFile直接,我们可以绕过这种写访问实施。詹姆斯·福肖(James Forshaw)在他的帖子中详细介绍了这种绕过它的功能,除非正在运行的应用程序是沙箱的。

这意味着从具有编辑权限的C:\Windows\Internet Logs任何文件创建硬链接SYSTEM会将这些权限重置为系统中的任何用户都可以覆盖它的状态。这可以导致标准用户帐户的特权提升。

概念证明

首先,我们需要一个覆盖的文件,这可能会给我们提升权限。查看任务调度程序以查看正在运行的任务SYSTEM是一个良好的开端。

CVE-2019-8452:Check Point VPN本地提权漏洞分析

Google Update计划任务是一个很好的目标,它运行为SYSTEM,在可预测的时间运行(在任何用户登录时),并且可执行文件可以修改和写入SYSTEM

CVE-2019-8452:Check Point VPN本地提权漏洞分析

CVE-2019-8452:Check Point VPN本地提权漏洞分析

CVE-2019-8452:Check Point VPN本地提权漏洞分析

接下来,我们需要创建一个C:\Windows\Internet Logs到Google Update可执行文件的硬链接。FuzzySecurity的PowerShell-Suite有一个方便的PowerShell脚本,可以NtSetInformationFile直接使用创建硬链接; Native-HardLink。我们导入该脚本并创建指向Google Update可执行文件的硬链接。

CVE-2019-8452:Check Point VPN本地提权漏洞分析

我们现在将看到在两个目录中镜像的可执行文件。

CVE-2019-8452:Check Point VPN本地提权漏洞分析

接下来,由于标准用户帐户无法重新启动Check Point服务,因此我们重新启动计算机以重新启动服务。启动时,我们会看到文件权限GoogleUpdate.exe已更新,我们现在可以作为标准用户覆盖其内容。

CVE-2019-8452:Check Point VPN本地提权漏洞分析

我选择用反向shell替换可执行文件,所以我们这样做,注销并重新SYSTEM进入,我们将获得一个具有访问权限的shell 。

CVE-2019-8452:Check Point VPN本地提权漏洞分析

CVE-2019-8452:Check Point VPN本地提权漏洞分析

好的方法,这里是漏洞的视频

黑白网翻译,原文由https://bordplate.no/blog/en/post/check-point-file-permissions-overwrite/

版权声明

本文仅代表作者观点,不代表黑白网立场。
如文章侵犯了您的权利,请通过邮箱联系我们删除。
详情查看:版权纠纷
E-Mail:server@heibai.org

喜欢0发布评论

评论列表

发表评论

  • 昵称(必填)
  • 邮箱
  • 网址