CVE-2022-27438

Caphyon Ltd Advanced Installer 19.3: vulnerabilidad de ejecución remota de código en la comprobación de actualizaciones "CustomDetection".

Uso: python3 cve-2022-27438_poc.py

Detalles en el informe en gerr.re.

Pasos para reproducir

Para otros productos afectados, debe cambiar el servidor de actualizaciones y el nombre del archivo de configuración de actualización. Estos a menudo se pueden encontrar en el .ini del actualizador en el directorio de instalación de la aplicación.

1. Instale Advanced Installer 19.3;
2. Establezca el spoof de www.advancedinstaller.com para que apunte a la IP del atacante;
   • Para la prueba de concepto, lo más fácil es editar c:\windows\system32\drivers\etc\hosts en el objetivo.
     • Los atacantes pueden, por ejemplo, usar:
       • routers/switches/DNS mal configurados
       • spoofing de DNS / envenenamiento de caché
       • spoofing de ARP / envenenamiento de caché
3. Genere certificados autofirmados;
   • por ejemplo, usando openssl req -new -x509 -keyout www.advancedinstaller.com.pem -out www.advancedinstaller.com.pem -days 365 -nodes -subj "/CN=www.advancedinstaller.com"
4. Ejecute el script de la prueba de concepto en el atacante;
5. Inicie Advanced Installer para activar la actualización automáticamente, o
   • espere 2 días para que la actualización se active automáticamente, o
   • active la actualización manualmente a través del menú/ajustes de la aplicación, o
   • active la actualización manualmente iniciando la aplicación de actualización en C:\Program Files (x86)\Caphyon\Advanced Installer 19.3\bin\x86\updater.exe;
6. Continúe con la alerta de seguridad del certificado no confiable de Windows (si corresponde).

Como resultado, el binario especificado en CustomDetection con los parámetros especificados en CustomDetectionParameters se ejecuta en el contexto del usuario actual.