CVE-2022-27438

Vulnerabilità di esecuzione di codice remoto nel controllo aggiornamenti "CustomDetection" di Caphyon Ltd Advanced Installer 19.3.

Utilizzo: python3 cve-2022-27438_poc.py

Dettagli nel report su gerr.re.

Passaggi per riprodurre

Per altri prodotti interessati, è necessario modificare il server di aggiornamento e il nome del file di configurazione dell'aggiornamento. Questi si trovano spesso nel file .ini dell'updater nella directory di installazione dell'applicazione.

1. Installare Advanced Installer 19.3;
2. Impostare lo spoof di www.advancedinstaller.com verso l'IP dell'attaccante;
   • Per la prova di concetto, il metodo più semplice è modificare c:\windows\system32\drivers\etc\hosts sulla macchina target.
     • Gli attaccanti possono ad esempio utilizzare:
       • router/switch/DNS configurati male
       • spoofing DNS / avvelenamento della cache
       • spoofing ARP / avvelenamento della cache
3. Generare certificati autofirmati;
   • ad esempio usando openssl req -new -x509 -keyout www.advancedinstaller.com.pem -out www.advancedinstaller.com.pem -days 365 -nodes -subj "/CN=www.advancedinstaller.com"
4. Eseguire lo script della prova di concetto sull'attaccante;
5. Avviare Advanced Installer per attivare l'aggiornamento automaticamente, oppure
   • attendere 2 giorni per attivare l'aggiornamento automaticamente, oppure
   • attivare l'aggiornamento manualmente tramite il menu/le impostazioni dell'applicazione, oppure
   • attivare l'aggiornamento manualmente avviando l'applicazione di aggiornamento in C:\Program Files (x86)\Caphyon\Advanced Installer 19.3\bin\x86\updater.exe;
6. Proseguire con l'avviso di sicurezza di Windows relativo al certificato non attendibile (se applicabile).

Di conseguenza, il binario specificato in CustomDetection con i parametri specificati in CustomDetectionParameters viene eseguito nel contesto dell'utente corrente.