CVE-2022-1257 PoC: McAfee Agent Datenbank-Credential-Entnahme

Erstellt von scottk817

Dieses Skript ist ein PoC für CVE-2022-1257, eine Sicherheitslücke im McAfee Agent (Trellix Agent) bei der Arbeit mit dessen Datenbank. Die Schwachstelle ermöglicht es Angreifern, Anmeldeinformationen aus der McAfee Agent-Datenbankdatei (ma.db) zu extrahieren und zu entschlüsseln, da der Verschlüsselungsschlüssel nicht ordnungsgemäß gehandhabt wird.

Haftungsausschluss

Dieses Skript ist ausschließlich für Bildungszwecke bestimmt. Verwenden Sie es nicht auf Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Testgenehmigung haben. Unautorisierter Zugriff auf Systeme und Daten ist illegal und unethisch.

Beschreibung

CVE-2022-1257 wie von NIST beschrieben:

Unsichere Speicherung sensibler Informationen in MA für Linux, macOS und Windows vor Version 5.7.6 ermöglicht es einem lokalen Benutzer, über die Speicherung in ma.db auf sensible Informationen zuzugreifen. Die sensiblen Informationen wurden in verschlüsselte Datenbankdateien verschoben.

Dieses Skript demonstriert, wie ein Angreifer diese Sicherheitslücke ausnutzen könnte, indem er:

1. Die Datei ma.db zur Vermeidung von Sperrkonflikten an einen temporären Speicherort kopiert.
2. Die in der Datenbank gespeicherten Benutzernamen und verschlüsselten Passwörter extrahiert.
3. Die extrahierten Passwörter decodiert und dann mithilfe von XOR- und 3DES-Entschlüsselung entschlüsselt.
4. Die Ergebnisse im CSV-Format für die weitere Verwendung ausgibt.

Voraussetzungen

• Windows-Betriebssystem (Windows 11)
• PowerShell 5.1 oder höher
• winsqlite3.dll: Diese DLL-Datei muss für SQLite-Operationen verfügbar sein; unter Windows 11 ist sie nativ vorhanden.

Installation

1. Klonen oder laden Sie das Repository herunter.
2. Stellen Sie sicher, dass winsqlite3.dll auf Ihrem System verfügbar ist (unter Windows 11 nativ vorhanden).
3. Stellen Sie sicher, dass Sie Zugriff auf PowerShell haben.
4. Stellen Sie sicher, dass Sie Zugriff auf die McAfee Agent-Datenbank (ma.db) haben. Diese befindet sich normalerweise unter C:\ProgramData\McAfee\Agent\DB\ma.db.

Verwendung

Führen Sie das Skript in PowerShell mit dem folgenden Befehl aus:

.\CVE-2022-1257.ps1

Das Skript gibt die Benutzernamen und entschlüsselten Passwörter aus der Datenbank im CSV-Format aus:

Username,Password
user1,password1
user2,password2

Wenn Sie dieses Skript in einer Bewertung verwenden, kann es sinnvoll sein, das Skript zu bereinigen und mit Invoke-Obfuscate zu verschleiern.

Referenzen

• CVE-2022-1257
• McAfee Sitelist Password Decryption Tool
• Abusing McAfee Vulnerabilities and Misconfigurations
• TryHackMe: Breaching Active Directory (Hier habe ich zum ersten Mal von dieser Sicherheitslücke erfahren)

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert – siehe die Datei LICENSE für Details.