MyReport Updater: LPE и RCE через gRPC-сервис

MyReport Updater позволяет выполнять код с правами SYSTEM

Исследователи Quarkslab обнаружили уязвимости в MyReport Updater. Злоумышленник может повысить привилегии до SYSTEM и выполнить произвольный код. Уязвимости затрагивают MyReport Updater версии 2.1.1. Для эксплуатации требуется сетевой доступ к TCP-порту 9095 и возможность исходящего трафика с обновляющего ПО на инфраструктуру атакующего.

MyReport Updater устанавливает модули и обновляет ПО

MyReport — платформа бизнес-аналитики. Она централизует данные, автоматизирует отчетность и создает дашборды. Решение включает основное ПО, компонент обновления (updater) и модули. MyReport Updater упрощает развертывание и обновление MyReport. Компонент состоит из службы Windows MyReportUpdaterService, работающей с правами LocalSystem, и приложения Updater Manager для управления службой. Анализ показал, что UpdaterManager.exe взаимодействует с MyReportUpdaterService через gRPC на TCP-порту 9095. Конфигурация позволяет использовать любой сервер-источник для получения обновлений.

Локальное повышение привилегий и удаленное выполнение кода достигаются через gRPC

Злоумышленник со стандартными правами пользователя может указать произвольный сервер-источник. Если MyReportUpdaterService сможет связаться с этим сервером по gRPC на TCP-порту 9095, атакующий запишет файлы в выбранный каталог с привилегиями NT AUTHORITY\SYSTEM. Этот доступ позволяет разместить DLL-файл, который будет загружен привилегированным процессом. Код DLL выполнится с высокими привилегиями, предоставляя полный контроль над сервером Citrix. Уязвимость также может затронуть другие машины с установленным ПО MyReport. Локальное повышение привилегий до SYSTEM является наивысшим уровнем в Windows.

Исследователи создали Proof of Concept (PoC), который изменяет сервер-источник на контролируемый атакующим, обходит проверки целостности загружаемых файлов и записывает файлы в произвольный каталог. PoC разработан и протестирован на MyReport Updater версии 2.1.1. Служба MyReportUpdaterService работает от имени NT AUTHORITY\SYSTEM и прослушивает TCP-порт 9095. Процессы UpdaterManager.exe и UpdaterManagerDesktop.exe общаются со службой через этот порт, используя gRPC. Служба также отправляет HTTPS-запросы на сервер поставщика.

Сценарий эксплуатации включает изменение сервера-источника на машину атакующего, загрузку и модификацию установочных файлов MyReport, а также предоставление обновлений с произвольным кодом. В тестовой среде интернет-трафик на TCP-порт 9095 был заблокирован, но внутренний трафик не ограничивался. Для обхода ограничений использовался промежуточный сервер. Конфигурация MyReport была изменена для использования машины атакующего в качестве сервера-источника. Затем были загружены ZIP-архивы с модулями MyReport. Исследователи модифицировали файл Administrator.6.0.0.AnyCPU.zip, добавив в корень DLL-файл HID.dll. При загрузке DLL проверяет, запущен ли текущий процесс от имени SYSTEM. Если проверка успешна, запускается cmd.exe. Целевым каталогом для записи DLL стал C:\Program Files\Common Files\microsoft shared\ink. Этот каталог используется процессом osk.exe (Экранная клавиатура), который запускается с правами NT AUTHORITY\SYSTEM.

Сервер-источник выполняет проверку целостности, используя MD5-хеш и размер файла Administrator.6.0.0.AnyCPU.zip. Эта информация передается обновляющему ПО. Декомпилированный код MyUpdaterService.RPC.Client.dll подтверждает наличие этих проверок. Перехваченный трафик на updater.myreport.fr перенаправлялся на инструмент исследователей, который возвращал корректные MD5-хеш и размер для модифицированных архивов. Инструмент работал как man-in-the-middle сервер для gRPC и TLS, перенаправляя запросы на сервер поставщика и модифицируя ответы. Обновляющее ПО не смогло подключиться к инструменту с самоподписанным сертификатом из-за несоответствия имен доменов. Исследователи воспроизвели информацию о сертификате updater.myreport.fr и использовали ее с инструментом.

Обновить MyReport Updater до последней версии

В настоящее время информация о наличии исправлений или обновленных версий MyReport Updater отсутствует. Пользователям рекомендуется связаться с поставщиком ПО для получения информации о мерах безопасности и доступных обновлениях.