CVE-2016-9486

En los endpoints de Windows, el agente SecureConnector debe ejecutarse bajo la cuenta SYSTEM local u otra cuenta de administrador para habilitar la funcionalidad total del agente. La configuración típica es para que el agente se ejecute como servicio de Windows bajo la cuenta SYSTEM local. El agente SecureConnector ejecuta varios scripts de plugin y ejecutables en el endpoint para recopilar y reportar información sobre el host en la aplicación de gestión de CounterACT. El agente SecureConnector descarga estos scripts y ejecutables cuando los necesita de la aplicación de gestión de CounterACT y los ejecuta en el endpoint. Por defecto, estos archivos ejecutables se descargan y ejecutan desde el directorio %TEMP% del usuario que ha iniciado sesión actualmente, a pesar del hecho de que el agente SecureConnector se está ejecutando como SYSTEM. Aparte de los scripts descargados, el agente SecureConnector ejecuta un archivo con privilegios SYSTEM desde el directorio temp del usuario que tiene la sesión iniciada actualmente. Si la convención de nombres del script se puede derivar, lo que es posible colocándolo en un directorio en el que el usuario tiene acceso de lectura, podría ser posible sobrescribir el archivo batch legítimo con otro malicioso antes de que lo ejecute SecureConnector. Es posible cambiar este directorio estableciendo la propiedad de configuración config.script_run_folder.value en el archivo de configuración local.properties en la aplicación de gestión de CounterACT; sin embargo, el archivo batch que se ejecuta no sigue esta propiedad.