ASUS ATK Package可信蹊径代码执行缝隙（CVE-2019-19235）

颁布功夫 2019-12-21


OG东方厅·(中国大陆)


1.布景描述


SafeBreach Labs在ASUS ATK软件包中发现了一个缝隙（CVE-2019-19235），，攻击者可利用该缝隙在特权过程（NT AUTHORITY\SYSTEM）的高低文中执行未署名的可执行文件（exe），，从而绕过检测并获得悠久性。。


2.缝隙列表


CVE ID  ：：：     CVE-2019-19235

CVSS评分：：：   暂未评定

影响领域：：：     ATK Package 1.0.0060及之前的所有版本


3.缝隙详情


华硕ATK软件包是预装置在华硕PC上的实用工具，，其ASLDR服务（AsLdrSrv.exe）以NT AUTHORITY\SYSTEM特权账户运行，，该服务的可执行文件由“ ASUSTek Computer Inc.”署名。。AsLdrSrv.exe在执行“C:\Program Files (x86)\ASUS\ATK Package\ATK Hotkey\HControl.exe”文件前，，会先查找以下3个迷失的exe文件。。


C:\Program.exe

C:\Program Files(x86)\ASUS\ATK.exe

C:\Program Files(x86)\ASUS\ATK Package\ATK.exe


因而，，攻击者能够将肆意未署名的EXE文件加载进合法过程并以NT AUTHORITY\SYSTEM执行（无需更改服务的蹊径或覆盖任何文件）。。

导致该问题的原因是AsLdrSrv.exe试图从正确的蹊径加载HControl.exe时，，存储该蹊径的ATK_path缓冲区内的字符串没有加引号，，由于该蹊径存在空格，，使得CreateProcessAsUserW函数尝试自行解析蹊径，，因而法式会查找这3个不存在的exe文件。。


4.修复建议


建议更新至最新版本1.0.0061


5.参考链接


https://safebreach.com/Post/ASUS-ATK-Package-Unquoted-Search-Path-and-Potential-Abuses-CVE-2019-19235

https://nvd.nist.gov/vuln/detail/CVE-2019-19235

https://www.asus.com/Static_WebPage/ASUS-Product-Security-Advisory/