TeamViewer 用户到内核的权限提升 CVE-2024-7479 和 CVE-2024-7481

漏洞原理：

在连接到 SYSTEM 服务 IPC 时欺骗有效的 TeamViewer 客户端后，TeamViewer未验证正在安装的驱动程序的签名，就可以触发任意驱动程序安装。

因此，借助 TeamViewer，可以将 USER 权限升级到 KERNEL。

最好的方法之一是使用众所周知的技术BYOD（自带易受攻击的驱动程序）将有效的签名驱动程序加载到 Windows 内核中，然后利用它从用户级别执行特权操作，例如更改任意的令牌与特权进程一起进行。

当 TeamViewer 安装在系统上时，它会创建一个作为 SYSTEM 运行的服务， TeamViewer_service.exe

该服务是客户完成某些任务的帮助者。因此，客户端不会以提升的权限运行，并且某些任务会委托给服务。

与服务（IPC）的通信是通过套接字实现的（使用Overlapped I/O和IoCompletionPort ）。默认情况下，TeamViewer SYSTEM 服务在本地主机上侦听5939/tcp 。

TeamViewer不会过滤客户端发送来要求安装驱动程序或签名检查等的参数。

所以我们的想法是：我们将欺骗电视客户端，要求安装VPN 驱动程序，但指示另一个 INF。我重新利用了 TeamViewer 的相同原始 INF，但在另一个（非特权）路径中将“坏”驱动程序重命名为teamviewervpn.sys ，因为这是原始 INF 所针对的驱动程序名称。

github ：https://github.com/PeterGabaldon/CVE-2024-7479_CVE-2024-7481.git

原文始发于微信公众号（合规渗透）：TeamViewer 用户到内核的权限提升 CVE-2024-7479 和 CVE-2024-7481