N-Able Take Control Agent 高危漏洞可用于 Windows 系统提权

N-Able 的 Take Control Agent 中存在一个高危漏洞 (CVE-2023-27470)，可被本地低权限攻击者用于获得Windows 系统权限。

该漏洞的CVSS评分为8.8，与TOCTOU 条件竞争漏洞有关。如遭成功利用，可用于删除Windows 系统上的任意文件。该漏洞影响7.0.41.1141及以下版本，已于2023年3月15日在7.0.43中修复。

当程序检查特定值的资源状态但该值在实际被用之前修改后，导致检查无效，造成TOCTOU 漏洞。利用此类漏洞可导致完整性丢失并诱骗程序执行不应执行的操作，从而导致威胁行动者获得对未授权资源的访问权限。

CWE 系统提到，“当攻击者可影响检查和使用之间的资源状态时，该弱点可能是安全性相关的。通过共享资源如文件、内存甚至是多线程程序中的变量就可发生这种情况。”

Mandiant 公司提到，CVE-2023-27470 是因为记录多个条件删除事件（如名为 aaa.txt和bbb.txt的文件） 与名为"C:\ProgramData\GetSupportService_N-Central\PushUpdates." 的特定文件夹的每个删除操作之间的Take Control Agent (BASupSrvcUpdater.exe) 中的条件竞争引发的。简言之，当 BASupSrvcUpdater.exe 记录了aaa.txt的删除时，攻击者可通过符号链接取代 bbb.txt 文件，从而将该进程重定向到系统上的任意文件。该操作可导致该进程无意间以 NT AUTHORITY\SYSTEM 删除文件。

更麻烦的是，这种任意文件删除可被用于保护提升的 Command Prompt，方法是利用针对 Windows 安装程序回滚功能的条件竞争攻击，从而可能导致代码执行后果。任意文件删除利用不再仅限于拒绝服务攻击且可作为实现提升的代码执行后果。Oliveau 表示，这类exploit可与“MSI 的回滚功能组合利用，将任意文件引入系统”。

在不安全文件夹中看似无害的记录和删除事件进程可使攻击者创建伪符号链接，欺骗提权进程在非预期文件中运行操作。