CVE-2022-1257 PoC : Récupération d'identifiants de la base de données McAfee Agent

Créé par scottk817

Ce script est un PoC pour CVE-2022-1257, une vulnérabilité dans McAfee Agent (Trellix Agent) lors de l'utilisation de sa base de données. La vulnérabilité permet aux attaquants de récupérer et de déchiffrer les identifiants du fichier de base de données McAfee Agent (ma.db) en raison d'une gestion inappropriée des clés de chiffrement.

Avertissement

Ce script est destiné uniquement à des fins éducatives. Ne l'utilisez pas sur des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas l'autorisation explicite de tester. L'accès non autorisé aux systèmes et aux données est illégal et contraire à l'éthique.

Description

CVE-2022-1257 tel que décrit par le NIST :

La vulnérabilité de stockage non sécurisé d'informations sensibles dans MA pour Linux, macOS et Windows avant la version 5.7.6 permet à un utilisateur local d'accéder à des informations sensibles via le stockage dans ma.db. Les informations sensibles ont été déplacées vers des fichiers de base de données chiffrés.

Ce script démontre comment un attaquant pourrait exploiter cette vulnérabilité en :

1. Copiant le fichier ma.db vers un emplacement temporaire pour éviter les conflits de verrouillage.
2. Extrayant les noms d'utilisateur et les mots de passe chiffrés stockés dans la base de données.
3. Décodant les mots de passe extraits, puis en les déchiffrant à l'aide du déchiffrement XOR et 3DES.
4. Affichant les résultats au format CSV pour une utilisation ultérieure.

Prérequis

• Système d'exploitation Windows (Windows 11)
• PowerShell 5.1 ou version ultérieure
• winsqlite3.dll : Ce fichier DLL doit être disponible pour les opérations SQLite, il est fourni nativement avec Windows 11.

Installation

1. Clonez ou téléchargez le dépôt.
2. Assurez-vous que winsqlite3.dll est disponible sur votre système, il est fourni nativement avec Windows 11.
3. Assurez-vous d'avoir accès à PowerShell.
4. Assurez-vous d'avoir accès à la base de données McAfee Agent (ma.db). Elle se trouve généralement à l'emplacement C:\ProgramData\McAfee\Agent\DB\ma.db.

Utilisation

Exécutez le script dans PowerShell avec la commande suivante :

.\CVE-2022-1257.ps1

Le script affichera les noms d'utilisateur et les mots de passe déchiffrés de la base de données au format CSV :

Username,Password
user1,password1
user2,password2

Si vous l'utilisez lors d'une évaluation, il peut être utile de nettoyer le script et de l'obfusquer avec Invoke-Obfuscate

Références

• CVE-2022-1257
• Outil de déchiffrement de mot de passe McAfee Sitelist
• Abuser des vulnérabilités et mauvaises configurations de McAfee
• TryHackMe : Brèche dans Active Directory (C'est ici que j'ai découvert cette vulnérabilité pour la première fois)

Licence

Ce projet est sous licence MIT - voir le fichier LICENSE pour plus de détails.