RealPlayer_G2_RCE

Real Player v.20.0.8.310 G2 Control 'DoGoToURL()' Vulnerabilità di esecuzione remota di codice

Video dimostrativo: https://www.youtube.com/watch?v=9c9Q4VZQOUk

Il componente G2 Control di Real Player contiene una vulnerabilità di esecuzione remota di codice perché consente di passare URI 'javascript:' come argomento, cosa che di solito non è sicura perché in alcuni scenari potrebbe consentire l'iniezione di codice script in domini arbitrari (Universal Cross Site Scripting - uXSS) che può potenzialmente essere usata, ad esempio, per rubare cookie, tra le altre cose. Impostando il parametro 'URL' su un URI 'javascript:' e il parametro 'target' su un elemento html 'iframe', è possibile far eseguire codice javascript nel contesto di una pagina di errore locale visualizzata dopo aver usato lo stesso Control per navigare verso un URI non valido come 'mhtml:http://%SERVER%/frame.htm': quando un URI 'mhtml:' viene invocato dal motore di rendering MS IE, questo si aspetta un file MHTML con un'estensione il cui tipo MIME è impostato su "message/rfc822", come nel caso dei file '.mht'; i file '.htm' hanno il MIME impostato su 'text/html' e quindi IE annullerà il caricamento del documento e visualizzerà una pagina di errore locale (navigazione annullata). L'indirizzo della pagina di errore locale è 'res://ieframe.dll/navcancl.htm', che appartiene alla zona di sicurezza 'Computer locale' di IE / Windows, che per progettazione consente la lettura di file locali arbitrari e anche l'esecuzione arbitraria di codice. Proibire l'URI 'javascript:' nel controllo mitiga il problema.

Il PoC utilizza il controllo ActiveX 'SYSMON' per inserire un file HTA nella cartella di avvio dell'utente, che verrà eseguito al successivo accesso o avvio. Un file HTA può contenere codice per, ad esempio, scaricare o estrarre un file EXE incorporato ed eseguirlo. Il PoC presuppone che Real Player abbia la directory di lavoro corrente impostata su una sottodirectory della home directory dell'utente. Scaricando file usando ad esempio i browser web, questi verranno scaricati per impostazione predefinita nella cartella 'Downloads' dell'utente, quindi non è necessario recuperare il nome utente di Windows per poter inserire il file HTA nella cartella di avvio. Questo è solo per comodità, poiché è possibile recuperare queste informazioni in vari modi, incluso il controllo ActiveX MS Web Browser.

La vulnerabilità può essere sfruttata aprendo un file playlist di Real Player come i file RAM.

Per riprodurre il problema, procedere come segue:

a) Configurare un server web b) nella directory radice del server web, estrarre la cartella "RP_G2". c) aprire la cartella "RP_G2" appena estratta e quindi aprire i seguenti file in un editor di testo: "poc.htm", "sm_rpx.js", "start.ram". Sostituire ogni occorrenza della stringa %SERVER% con l'indirizzo IP effettivo del server web (in ciascuno dei file) d) assicurarsi che il server web sia accessibile e che lo siano anche tutti i file coinvolti. Sul server web MS IIS potrebbe essere necessario aggiungere una nuova estensione e associarla a un tipo MIME, quindi farlo per associare l'estensione .RAM al MIME "audio/x-pn-realaudio". e) sul lato client (vittima), aprire il browser web e scaricare il file "start.ram" (o può essere accessibile ad esempio tramite un protocollo URL come 'rtsp:') e aprirlo. Dopo alcuni secondi si dovrebbe vedere un file HTA inserito nella cartella di avvio dell'utente.

Nota: per aprire la cartella di avvio fare così: aprire il menu "Esegui" e quindi digitare:

shell:Startup

premere Invio e il gioco è fatto.

Testato con successo su Real Player v.20.0.8.310 (e versioni precedenti risalenti a diversi anni fa, come il 2014 circa) in esecuzione su Windows XP SP3, Vista, 7, 8.1, 10, 11, tutti completamente aggiornati con le patch più recenti. (es. l'aggiornamento più recente di Windows XP è stato nell'aprile 2014... Win 7 nel gennaio 2020, e così via)