[TeamViewer提权漏洞] 从用户到内核的权限提升 CVE-2024-7479、CVE-2024-7481 附poc

在连接到 SYSTEM 服务 IPC 时能够欺骗（只是博客中详细介绍的一些简单身份验证）有效的 TeamViewer 客户端后，就可以触发任意驱动程序安装。TeamViewer 未验证正在安装的驱动程序的签名。

因此，借助 TeamViewer，可以将 USER 权限升级到 KERNEL。

最好的方法之一是使用众所周知的技术BYOD（自带易受攻击的驱动程序）将有效的签名驱动程序加载到 Windows 内核中，然后利用它从用户级别执行特权操作，例如更改任意的令牌与特权进程一起进行。

当 TeamViewer 安装在系统上时，它会创建一个作为 SYSTEM 运行的服务， TeamViewer_service.exe

该服务是客户完成某些任务的帮助者。因此，客户端不会以提升的权限运行，并且某些任务会委托给服务。

与服务（IPC）的通信是通过套接字实现的（使用Overlapped I/O和IoCompletionPort ）。默认情况下，TeamViewer SYSTEM 服务在本地主机上侦听5939/tcp 。

TeamViewer不会过滤客户端发送来要求安装驱动程序或签名检查等的参数。

所以我们的想法是：我们将欺骗电视客户端，要求安装VPN 驱动程序，但指示另一个 INF。我重新利用了 TeamViewer 的相同原始 INF，但在另一个（非特权）路径中将“坏”驱动程序重命名为teamviewervpn.sys ，因为这是原始 INF 所针对的驱动程序名称。

重要提示

此检查仅通过 GUI 有效，因为当非特权用户单击按钮时， TeamViewer 选项会被禁用。但可以连接到套接字并执行任意驱动程序加载。

重要提示二

因此，基本上，我们欺骗连接 SYSTEM 服务的 TeamViewer 客户端并请求安装任意驱动程序。TeamViewer 服务请将其加载到内核中。

poc:https://github.com/PeterGabaldon/CVE-2024-7479_CVE-2024-7481.git

下三期分享此漏洞的分析过程，欢迎关注

原文始发于微信公众号（合规渗透）：[TeamViewer提权漏洞] 从用户到内核的权限提升 CVE-2024-7479、CVE-2024-7481 附poc