ASUS ATK Package可信路径代码执行误差（CVE-2019-19235）

宣布时间 2019-12-21


尊龙凯时 - 人生就是搏!


1.配景形貌


SafeBreach Labs在ASUS ATK软件包中发明了一个误差（CVE-2019-19235），攻击者可使用该误差在特权历程（NT AUTHORITY\SYSTEM）的上下文中执行未署名的可执行文件（exe），从而绕过检测并获得长期性。


2.误差列表


CVE ID  ：     CVE-2019-19235

CVSS评分：   暂未评定

影响规模：     ATK Package 1.0.0060及之前的所有版本


3.误差详情


华硕ATK软件包是预装置在华硕PC上的适用工具，其ASLDR服务（AsLdrSrv.exe）以NT AUTHORITY\SYSTEM特权账户运行，该服务的可执行文件由“ ASUSTek Computer Inc.”署名。AsLdrSrv.exe在执行“C:\Program Files (x86)\ASUS\ATK Package\ATK Hotkey\HControl.exe”文件前，会先查找以下3个丧失的exe文件。


C:\Program.exe

C:\Program Files(x86)\ASUS\ATK.exe

C:\Program Files(x86)\ASUS\ATK Package\ATK.exe


因此，攻击者可以将恣意未署名的EXE文件加载进正当历程并以NT AUTHORITY\SYSTEM执行（无需更改服务的路径或笼罩任何文件）。

导致该问题的缘故原由是AsLdrSrv.exe试图从准确的路径加载HControl.exe时，存储该路径的ATK_path缓冲区内的字符串没有加引号，由于该路径保存空格，使得CreateProcessAsUserW函数实验自行剖析路径，因此程序会查找这3个不保存的exe文件。


4.修复建议


建议更新至最新版本1.0.0061


5.参考链接


https://safebreach.com/Post/ASUS-ATK-Package-Unquoted-Search-Path-and-Potential-Abuses-CVE-2019-19235

https://nvd.nist.gov/vuln/detail/CVE-2019-19235

https://www.asus.com/Static_WebPage/ASUS-Product-Security-Advisory/