CVE-2024-57394

CVE-2024-57394 在奇安信天擎终端安全管理系统（测试版本为10.0）中发现了一个漏洞。该漏洞允许低权限用户将隔离文件恢复到任意位置，例如 C:\Windows\System32。 攻击者可以构造一个恶意DLL文件，将其恢复到 C:\Windows\System32，并利用已知的DLL劫持漏洞（例如通过StorSvc进行本地提权（LPE））将权限提升至SYSTEM。 复现步骤 构造一个名为 sprintcsp.dll 的恶意DLL，该DLL执行恶意命令。 将DLL放置在目标机器上，文件被隔离。 在EDR客户端中恢复并信任该文件。 文件成功写入...