RealPlayer_G2_RCE

Real Player v.20.0.8.310 G2 Control 'DoGoToURL()' Vulnerabilidad de Ejecución Remota de Código

Vídeo demo: https://www.youtube.com/watch?v=9c9Q4VZQOUk

El componente G2 Control de Real Player contiene una vulnerabilidad de ejecución remota de código porque permite que se pasen URI 'javascript:' como argumento, lo que normalmente no es seguro porque en algunos escenarios podría permitir la inyección de código de script en dominios arbitrarios (Universal Cross Site Scripting - uXSS), que potencialmente podría utilizarse, por ejemplo, para robar cookies, entre otras cosas. Al establecer el parámetro 'URL' a una URI 'javascript:' y el parámetro 'target' a un elemento html 'iframe', es posible hacer que el código JavaScript se ejecute en el contexto de una página de error local que se muestra después de usar el mismo Control para navegar a una URI no válida, como 'mhtml:http://%SERVER%/frame.htm': cuando el motor de renderizado de MS IE invoca una URI 'mhtml:', espera un archivo MHTML con una extensión cuyo tipo MIME esté configurado como "message/rfc822", que es el caso de los archivos '.mht'; los archivos '.htm' tienen su MIME configurado como 'text/html' y, por lo tanto, IE cancelará la carga del documento y mostrará una página de error local (navegación cancelada). La dirección de la página de error local es 'res://ieframe.dll/navcancl.htm', que pertenece a la zona de seguridad 'Mi PC' de IE / Windows, que permite la lectura de archivos locales arbitrarios y también la ejecución arbitraria de código por diseño. Prohibir la URI 'javascript:' en el control mitiga el problema.

El PoC utiliza el control ActiveX 'SYSMON' para colocar un archivo HTA en la carpeta de inicio del usuario, que se ejecutará en el próximo inicio de sesión o arranque. Un archivo HTA puede contener código para, por ejemplo, descargar o extraer un archivo EXE incrustado y ejecutarlo. El PoC asume que Real Player tiene su directorio de trabajo actual configurado en un subdirectorio del directorio principal del usuario. Al descargar archivos usando, por ejemplo, navegadores web, se descargarán a la carpeta 'Downloads' del usuario de forma predeterminada, por lo que no necesitamos recuperar el nombre de usuario de Windows para poder colocar el archivo HTA en la carpeta de inicio. Esto es solo por conveniencia, ya que es posible recuperar esta información a través de diversas formas, incluido el ActiveX MS Web Browser.

La vulnerabilidad puede explotarse abriendo un archivo de lista de reproducción de Real Player, como archivos RAM.

Para reproducir el problema, haga lo siguiente:

a) Configurar un servidor web b) en el directorio raíz del servidor web, extraer la carpeta "RP_G2" en él. c) abrir la carpeta "RP_G2" recién extraída y luego abrir los siguientes archivos en un editor de texto: "poc.htm", "sm_rpx.js", "start.ram". Simplemente reemplace cada aparición de la cadena %SERVER% con la dirección IP real del servidor web (en cada uno de los archivos) d) asegurarse de que el servidor web sea accesible y también todos los archivos involucrados. En el servidor web MS IIS, puede ser necesario agregar una nueva extensión y asociarla con un tipo MIME, así que hágalo para asociar la extensión .RAM con el MIME "audio/x-pn-realaudio". e) en el lado del cliente (víctima), abrir el navegador web y descargar el archivo "start.ram" (o se puede acceder, por ejemplo, mediante un protocolo de URL como 'rtsp:') y abrirlo. Debería ver un archivo HTA siendo colocado en la carpeta de inicio del usuario después de unos segundos.

Nota: para abrir la carpeta de inicio, haga esto: abra el menú "Ejecutar" y luego escriba:

shell:Startup

pulse Entrar y listo.

Probado con éxito en Real Player v.20.0.8.310 (y versiones anteriores que se remontan varios años atrás, como 2014 más o menos) ejecutándose en Windows XP SP3, Vista, 7, 8.1, 10, 11, todos completamente parcheados con sus parches más recientes. (por ejemplo, la actualización más reciente de Windows XP fue en abril de 2014... Windows 7 en enero de 2020, y así sucesivamente)