Exploit for CVE-2022-45451

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-ALFAROM256-CVE-2022-45451
## Введение

##### Характеристики системы:

  * Windows 10 1809 x64 EN



##### Цель:

  * Acronis Home Cyber Protect
  * Acronis Cyber Protect



### Описание уязвимости

Драйвер антивирусного сканера "ngscan" от Acronis страдает от неправильного / ненадлежащего контроля доступа, установленного на порту фильтрации связи. Минифильтр-драйвер поддерживает следующие функции, которые могут быть использованы:

  * Произвольное чтение файлов
  * Изменение чувствительных ключей реестра (не использовано, условия срабатывания неизвестны), что может привести к локальному выполнению кода



### Произвольное чтение файлов

Анализ драйвера ngscan.sys начался с декомпиляции драйвера с помощью Ida Pro. Исследователь отметил, что, хотя объект устройства был создан, не было создано символических ссылок для взаимодействия с драйвером через `DeviceIoControl`. В связи с этим анализ продолжился наблюдением за возможностями порта фильтрации связи. Во время инициализации драйвер создаёт пять (5) портов связи для поддержки взаимодействия с другими процессами.

![](https://assets.kitploit.com/production/public/readmes/22469/cc2c6f5bfb9cb3faf43b074ab217173e837d2d1ee0e0d992689d8c30d6dbe5c7.png)

Рис. 1: Подпрограмма, поддерживающая создание до пяти (5) портов фильтрации связи (FCP)

Было замечено, что эта функция вызывается, инициализируя каждый из 5 FCP с DACL по умолчанию, причём последний FCP создаётся с NULL DACL. ![](https://assets.kitploit.com/production/public/readmes/22469/f23c10864e1af2b10fd7e052825296463a6c885d8cce5682e94dd8d196331def.png)

Рис. 2: Создание FCP с DACL по умолчанию/NULL

Анализ продолжился наблюдением за функциями CreateNotifyCallback и MessageNotifyCallback, заданными драйвером фильтра. Эти функции обратного вызова вызываются всякий раз, когда процесс открывает соединение и отправляет сообщение на порт связи.

![](https://assets.kitploit.com/production/public/readmes/22469/e8748c8b973c5b684ecd193bd6a1e1b5703b748346ced5b3f371c85868c1651f.png)

Первоначальная проверка MessageNotifyCallback показала, что буфер входящего сообщения должен удовлетворять следующим требованиям:

  * первое DWORD должно совпадать с ожидаемым значением заголовка "TrMs" (строка 37)
  * второе DWORD должно содержать длину _содержимого сообщения_ (примечание: это отличается и не совпадает с InputBufferLength)
  * длина содержимого сообщения должна быть меньше или равна полному размеру входного буфера минус размер заголовка сообщения 
    * Заголовок сообщения состоит из самого заголовка, размера и ещё одного неизвестного значения, всего 0xC (12) байт



После прохождения проверок из InputBuffer извлекается номер функции, который используется в последующих операторах `switch` для выбора функции, выполняемой с предоставленными данными.

![](https://assets.kitploit.com/production/public/readmes/22469/986c77cca85b363763d44ef63db6c76f7b4f290dd407dd79ad9f2fdd3dbf0176.png)

Рис. 3: Подмножество функций, поддерживаемых MessageNotifyCallback

Проверка каждой из поддерживаемых функций показала две функции, представляющие интерес для потенциального злоупотребления, ведущего к произвольному чтению файлов.

![](https://assets.kitploit.com/production/public/readmes/22469/147782f1477c8bb82fe77ed42c35c21eff8a956d48daac428c16cd408c1f59ba.png)

Рис. 4: Функции, поддерживающие создание контекста сканирования и возврат файлового дескриптора контекста сканирования (строки 206, 233)

Хотя точная функциональность "контекста сканирования" полностью не известна, анализ показал, что контекст сканирования файла может быть создан для любого файла, указанного пользователем в InputBuffer. После создания контекста сканирования его идентификатор возвращается пользователю в выходном буфере.

![](https://assets.kitploit.com/production/public/readmes/22469/c44f55733ab2b7bc3d2f84336edf528c2f9463f4b2dafa3589733e0f3c41d3d5.png)

Рис. 5: Подпрограмма создания контекста сканирования, возвращающая данные контекста сканирования пользователю

![](https://assets.kitploit.com/production/public/readmes/22469/27c3d850c405e7db0b81e8a8c761afd74f9d53f89a60884406fee6d9b6fa0977.png)

Рис. 6: Данные, отправленные минифильтр-драйверу с запросом доступа к защищённому файлу реестра SAM (`\??\C:\Windows\System32\config\SAM`)

![](https://assets.kitploit.com/production/public/readmes/22469/86500d1cb7006d4cb9da9917be76539e87aa575f9deebc8ddce69a3cebd82bd3.png)

Рис. 7: Ответ от минифильтр-драйвера, содержащий идентификатор контекста сканирования (`0x3aaf`)

После создания контекста сканирования и получения его идентификатора дескриптор файла, для которого был создан контекст, может быть открыт в запрашивающем приложении путём повторной отправки сообщения на порт связи.

![](https://assets.kitploit.com/production/public/readmes/22469/098bd7fd6312d34605fb0b1e9acfd3acc07f3dbffdd9723ddecdfe6e3562bbbf.png)

Рис. 8: Получение дескриптора файла созданного контекста сканирования

Функция, обозначенная как `CreateFileReturnHandle0`, вызывалась только в том случае, если предыдущая функция `SearchScanContextsByID` возвращала действительный контекст сканирования. Например, только если запрашивающий процесс предоставил действительный идентификатор контекста, который ранее был создан вызовом упомянутой функции создания контекста. Запрашивающая программа успешно открыла дескриптор привилегированного файла, предоставив идентификатор контекста сканирования функции, указанной на рисунке 8 (рисунок 4, строка 233).

![](https://assets.kitploit.com/production/public/readmes/22469/572917e537ba74ff61fd4b3838ded03bac66a47c3a4e6cc5c8b718a81667c900.png)

Рис. 9: Успешное получение дескриптора файла для файла SAM

С помощью processhacker доступ к дескриптору файла был подтверждён просмотром дескрипторов запрашивающего процесса: ![](https://assets.kitploit.com/production/public/readmes/22469/ff1db77a5c190442f28bd52bb939e5250f3845866f2b4daef8fe8e4b9bd3c51d.png)

Рис. 10: Процесс, содержащий дескриптор файла SAM

![](https://assets.kitploit.com/production/public/readmes/22469/890c8b3f9866f88fa0fee1bab81a1d5c0ac02ccb9f9308d69421856e06a62219.png)

Рис. 11: Доступ на чтение, предоставленный полученному дескриптору

### Потенциальное внедрение кода

Дальнейшее исследование поддерживаемых функций показало контроль над тремя ключами реестра, которые могут быть использованы для получения выполнения кода.

![](https://assets.kitploit.com/production/public/readmes/22469/841b08e33199e448dbfc59a23bdcbddd9fac857a9f0ac200302412e74fde319c.png)

Рис. 12: Функции, поддерживающие открытие дескрипторов ключей реестра

![](https://assets.kitploit.com/production/public/readmes/22469/a7e0385d7bb5862db2fa98c4b9307b93f60fc56d7e7aeb7ea218edbc5637fea6.png)

Рис. 13: Открытие ключей реестра, указывающих DLL монитора хуков для внедрения в процесс

![](https://assets.kitploit.com/production/public/readmes/22469/0ff4b4a243e1cacffa47b077d3a412a0777332ced3a10b28c5b20bb7029b3f8d.png)

Рис. 14: Функция `OpenKey`, демонстрирующая возможность изменения ключа реестра данными, контролируемыми пользователем

Обстоятельства внедрения DLL для перехвата (хукинга) в составе пакета Acronis не были определены, хотя, если мониторинг хуков включён, предполагается, что DLL, указанная ключами реестра `x64HookLib` и `x86HookLib`, будет внедрена в назначенный процесс. ![](https://assets.kitploit.com/production/public/readmes/22469/610fb3588904dd9ab841b532f3cb5a71949ed30057d9964da3ef380ee074fd70.png)

Рис. 15: x64HookLibKey, указывающий DLL для хукинга `C:\ProgramData\Acronis\NGMP\shared\acr_protect.x64.dll`

### Состояние гонки, допускающее ограниченное произвольное чтение файлов

Процесс открытия контекста сканирования был пропущен в анализе для произвольного чтения файлов. Вместо создания контекста сканирования процесс может перебирать идентификаторы контекстов сканирования методом грубой силы, многократно отправляя запросы к функции `GetScanContextByID`, циклически перебирая значения ContextID, пока не будет найден один или несколько действительных контекстов сканирования.