ASUS ATK Package可信蹊径代码执行缝隙（CVE-2019-19235）

颁布功夫 2019-12-21


GA黄金甲·(中国区)官方网站


1.布景描述


SafeBreach Labs在ASUS ATK软件包中发现了一个缝隙（CVE-2019-19235），攻击者可利用该缝隙在特权过程（NT AUTHORITY\SYSTEM）的高低文中执行未署名的可执行文件（exe），从而绕过检测并获得悠久性 。


2.缝隙列表


CVE ID  ：     CVE-2019-19235

CVSS评分：   暂未评定

影响领域：     ATK Package 1.0.0060及之前的所有版本


3.缝隙详情


华硕ATK软件包是预装置在华硕PC上的实用工具，其ASLDR服务（AsLdrSrv.exe）以NT AUTHORITY\SYSTEM特权账户运行，该服务的可执行文件由“ ASUSTek Computer Inc.”署名 。AsLdrSrv.exe在执杏装C:\Program Files (x86)\ASUS\ATK Package\ATK Hotkey\HControl.exe”文件前，会先查找以下3个迷失的exe文件 。


C:\Program.exe

C:\Program Files(x86)\ASUS\ATK.exe

C:\Program Files(x86)\ASUS\ATK Package\ATK.exe


因而，攻击者能够将肆意未署名的EXE文件加载进合法过程并以NT AUTHORITY\SYSTEM执行（无需更改服务的蹊径或覆盖任何文件） 。

导致该问题的原因是AsLdrSrv.exe试图从正确的蹊径加载HControl.exe时，存储该蹊径的ATK_path缓冲区内的字符串没有加引号，由于该蹊径存在空格，使得CreateProcessAsUserW函数尝试自行解析蹊径，因而法式会查找这3个不存在的exe文件 。


4.建复建议


建议更新至最新版本1.0.0061


5.参考链接


https://safebreach.com/Post/ASUS-ATK-Package-Unquoted-Search-Path-and-Potential-Abuses-CVE-2019-19235

https://nvd.nist.gov/vuln/detail/CVE-2019-19235

https://www.asus.com/Static_WebPage/ASUS-Product-Security-Advisory/