CVE-2022-27438

Vulnérabilité d'exécution de code à distance lors de la vérification des mises à jour « CustomDetection » d'Advanced Installer 19.3 de Caphyon Ltd.

Utilisation : python3 cve-2022-27438_poc.py

Détails dans le rapport sur gerr.re.

Étapes pour reproduire

Pour d'autres produits affectés, vous devez modifier le serveur de mise à jour et le nom du fichier de configuration de mise à jour. Ceux-ci se trouvent souvent dans le fichier .ini du programme de mise à jour dans le répertoire d'installation de l'application.

1. Installer Advanced Installer 19.3;
2. Définir le spoof www.advancedinstaller.com vers notre IP d'attaquant ;
   • Pour la preuve de concept, il est plus simple de modifier c:\windows\system32\drivers\etc\hosts sur la cible.
     • Les attaquants peuvent par exemple utiliser :
       • routeurs/commutateurs/DNS mal configurés
       • usurpation DNS / empoisonnement du cache
       • usurpation ARP / empoisonnement du cache
3. Générer des certificats auto-signés ;
   • par exemple en utilisant openssl req -new -x509 -keyout www.advancedinstaller.com.pem -out www.advancedinstaller.com.pem -days 365 -nodes -subj "/CN=www.advancedinstaller.com"
4. Exécuter le script de preuve de concept sur l'attaquant ;
5. Démarrer Advanced Installer pour déclencher la mise à jour automatiquement, ou
   • attendre 2 jours pour déclencher la mise à jour automatiquement, ou
   • déclencher la mise à jour manuellement via le menu/paramètres de l'application, ou
   • déclencher la mise à jour manuellement en démarrant l'application de mise à jour à C:\Program Files (x86)\Caphyon\Advanced Installer 19.3\bin\x86\updater.exe ;
6. Procéder à l'alerte de sécurité Windows concernant le certificat non approuvé (le cas échéant).

En conséquence, le binaire spécifié dans CustomDetection avec les paramètres spécifiés dans CustomDetectionParameters est exécuté dans le contexte de l'utilisateur actuel.