edubr2020/rp_recordclip_dll_hijackExploit de détournement de DLL à distance pour Real Player (CVE-2022-32291) utilisant des DLL malveillantes provenant de partages WebDAV/SMB pour exécuter du code.
Remote DLL Hijack Vulnerability in Real Player (CVE-2022-32291)
L'application Player (qui est vulnérable au démarrage de Real Converter) et le Recording Manager sont sujets à un problème de détournement de DLL à distance (binary planting) en raison d'une recherche non sécurisée de DLL inexistantes. Pour exploiter le problème, les attaquants devraient convaincre la cible d'ouvrir un fichier multimédia depuis un partage WebDAV ou SMB.
Pour Real Player antérieur à V.20.1.0.312 :
modifiez le fichier RAM et le fichier HTML et remplacez « %server% » par le nom d'hôte ou l'adresse IP réels du serveur « %share% » par le nom de partage réel. La cible doit ouvrir le fichier RAM qui invoque également le fichier HTML avec le code permettant d'appeler l'application Recording Manager et la DLL est chargée instantanément et le code s'exécute depuis la fonction « DLLMain() ».
Pour RP V.20.1.0.312 et versions ultérieures (inclut v.22.0.2.306) :
Modifiez simplement le fichier RAM 'start_RP_V.20.1.0.312.ram' et remplacez « %server% » par le nom d'hôte ou l'adresse IP réels du serveur « %share% » par le nom de partage réel. Lorsque la cible ouvre le fichier RAM, elle doit attendre un peu que la DLL soit chargée.
noms des DLL : pnrs3260.dll mediautil.dll
Modification : Après près d'un an, RealNetworks n'a pas corrigé une vulnérabilité aussi simple mais dangereuse dans son logiciel.
