Janik Wehrli

Listas de Controle de Acesso (ACLs) inseguras são configuradas em todos os arquivos DLL no diretório de instalação `C:Program Files (x86)Remote Utilities - Host`, concedendo controle total ao grupo Everyone integrado. Um serviço do Windows executado como `NT AUTHORITYSYSTEM` carrega DLLs deste local. Embora os arquivos fiquem bloqueados durante a execução, ocorre uma janela de condição de corrida (race window) quando o serviço é interrompido, como durante uma falha ou atualização de software. Isso permite que um invasor local sem privilégios substitua uma DLL por um payload malicioso, que é executado com privilégios de sistema ao reiniciar o serviço. A DLL `libasset32.dll` foi confirmada como carregada ativamente, e outros arquivos afetados incluem `eventmsg.dll`, `libcodec32.dll`, `vp8encoder.dll`, `vp8decoder.dll`, `webmvorbisdecoder.dll`, `webmvorbisencoder.dll` e `webmmux.dll`.

O servereye client, também conhecido como sensorhub ou ClientAgentContainerService, contém uma falha de escalonamento de privilégios locais. O serviço de alta prioridade SE3Recovery (EmergencyRecoveryService.exe) é executado como SYSTEM e monitora o diretório `%ProgramData%ServerEye3update` em busca de um arquivo de gatilho chamado `update available`. Devido a restrições de acesso insuficientes neste diretório, um usuário padrão local pode criar o arquivo de gatilho e fornecer o caminho para um diretório contendo instruções JSON maliciosas. O serviço, então, executa o utilitário UpdaterAction.exe com privilégios SYSTEM, que analisa as instruções e realiza uma cópia de arquivo não validada de uma origem controlada pelo usuário para um destino do sistema protegido, como a substituição de um binário de serviço. Isso leva ao comprometimento total do sistema, pois o serviço reinicia automaticamente o binário substituído com privilégios SYSTEM.

Existe uma vulnerabilidade de injeção de SQL na função de login do arquivo actions.php. Isso permite um possível acesso não autorizado a dados confidenciais.