Back Sploitus

CVE-2023

Sploitus • September 7, 2026

هذا هو PoC لثغرة كتابة ملفات تعسفية في Sysmon الإصدار 14.14

![poc](

بعد آخر تصحيح، يتحقق Sysmon مما إذا كان دليل Archive موجودًا، وإذا كان موجودًا، يتحقق مما إذا كان دليل الأرشيف مملوكًا لـ NT AUTHORITY\SYSTEM وأن الوصول ممنوح فقط إلى NT AUTHORITY\SYSTEM. إذا كان كلا الشرطين صحيحين، فسيقوم Sysmon بكتابة/حذف الملفات في هذا الدليل.

نظرًا لأنه لا يمكن تغيير ملكية الملفات/الأدلة كمستخدم منخفض الامتياز، كان عليّ العثور على دليل مملوك لـ SYSTEM ولكن يمنح المستخدم منخفض الامتياز (أو أي مجموعة يكون المستخدم منخفض الامتياز عضوًا فيها) وصولاً كاملاً أو على الأقل WRITE_DAC|DELETE|FILE_WRITE_ATTRIBUTES.

لم أتمكن من العثور على مثل هذا الدليل في التثبيت الافتراضي، لكنني تمكنت من إنشائه عن طريق إساءة استخدام تتبع خدمات Windows وخدمة RasMan.

سيعمل هذا PoC فقط على Sysmon الإصدار 14.14 وعملاء Windows قبل تصحيح أبريل بسبب التغييرات التي أدخلها تصحيح CVE-2023-28222 والذي ألغى الحيلة التي استخدمتها لإنشاء دليل مملوك لـ SYSTEM ومنح وصول كامل لمستخدم منخفض الامتياز. يمكن تعديل PoC ليعمل على العملاء بعد تصحيح أبريل إذا كان بإمكانك إساءة استخدام خدمات Windows أخرى لإنشاء دليل (أو العثور على أدلة تم إنشاؤها بواسطة تطبيقات الطرف الثالث :) )

(@itm4n)

The full story

This article is one source in a clustered incident — the cluster page carries the summary, timeline and every other outlet covering it.

New Local Privilege Escalation Exploit Targets Windows Print Drivers The 'concealed_position' exploit, revealed at DEF CON 29, allows low-privileged users to escalate privileges to SYSTEM on Windows by exploiting vulnerabilities in printer drivers. It utilizes four known CVEs: CVE-2021-35449, CVE-2021-38085, CVE-2019-19363, and CVE-2020-1300. The exploit involves a malicious printer driver installation process that can be executed without administrative privileges. Notably, three of the vulnerabilities remain exploitable even after patches have been applied. The exploit's mechanism involves staging a malicious driver in the Windows driver store and installing it via a client-server model. Microsoft acknowledged the security implications by issuing CVE-2021-34481. The exploit is particularly concerning for organizations using vulnerable Windows versions. The article emphasizes that the attack is straightforward and could be easily executed by attackers with limited access. 29 sources 62

Extracted Entities

CVE-2023

The full story

Extracted Entities

Attack Types (1)

CVEs (1)

CWE Weaknesses (1)

MITRE ATT&CK (1)

Platforms (1)

Tools (1)