已在N-Able得Take Control Agent中披露了一个高严重性安全漏洞，本地非特权攻击者可利用该漏洞获取SYSTEM权限。

跟踪为CVE-2023-27470（CVSS得分:8.8），该问题与检查时间到使用时间（TOCTOU）争用条件漏洞有关，成功利用该漏洞后，可利用该漏洞删除Windows系统上的任意文件。

该安全缺陷会影响7.0.41.1141及更早版本，在Mandiant于2023年2月27日进行负责任披露后，已在2023年3月15日发布的7.0.43版本中得到解决。

对时间使用时间的检查属于一类软件缺陷，其中一个程序检查资源的状态以获得特定的值，但该值在实际使用之前会发生变化，从而有效地使检查的结果无效。

利用这种漏洞可能导致完整性的丧失，并使程序执行它不应该执行的操作，从而允许威胁参与者获得对未经授权的资源的访问。

根据公共弱点枚举(CWE)系统中的描述，“当攻击者在检查和使用之间影响资源的状态时，此弱点可能是安全的。”“这可能发生在共享资源(如文件、内存，甚至多线程程序中的变量)中。”

根据谷歌拥有的威胁情报公司的说法，CVE-2023-27470来自于采取控制代理(BASupSrvcUpdater.exe)中记录多个文件删除事件(例如，名为aaa.txt和bbb.txt的文件)和从名为“C：\ProgramData\
GetSupportService_N-Central\PushUpdates.”的特定文件夹中的每个删除操作之间的TOCTOU竞争状态。

Mandiant安全研究员安德鲁·奥利沃(Andrew Oliveau)说：“简单地说，虽然BASupSrvcUpdater.exe记录了删除aaa.txt，但攻击者可以迅速用符号链接替换bbb.txt文件，将进程重定向到系统上的任意文件。”

“此操作将导致进程无意中删除NT AUTHORITY\SYSTEM文件。”

更麻烦的是，这种任意的文件删除可以被武器化，以确保通过利用竞争条件攻击针对Windows安装程序的回滚功能提升命令提示符，可能导致代码执行。

“任意文件删除漏洞不再局限于【拒绝服务攻击，确实可以作为一种手段来实现提升代码执行，”Oliveau说，补充这样的漏洞可以与”微星的回滚功能相结合，以引入任意文件到系统中。”

在一个不安全的文件夹中记录和删除事件的一个看似无害的过程可以使攻击者创建伪符号链接，欺骗特权进程对不想要的文件运行操作。