edubr2020/rp_recordclip_dll_hijackWebDAV/SMB 공유에서 악성 DLL을 이용해 코드 실행을 달성하는 Real Player(CVE-2022-32291)용 원격 DLL 하이재킹 익스플로잇.
Real Converter 시작 시 취약해지는 Player 애플리케이션과 Recording Manager는 존재하지 않는 DLL을 안전하지 않게 검색하기 때문에 원격 DLL 하이재킹(바이너리 플랜팅) 문제가 발생하기 쉽습니다. 이 문제를 악용하려면 공격자는 대상이 WebDAV 또는 SMB 공유에서 미디어 파일을 열도록 유도해야 합니다.
V.20.1.0.312 이전의 Real Player의 경우:
RAM 파일과 HTML 파일을 편집하고 "%server%"를 실제 서버 호스트 이름 또는 IP로 바꾸고 "%share%"를 실제 공유 이름으로 바꾸십시오. 대상은 Recording Manager 앱을 호출하는 코드가 포함된 HTML 파일도 함께 호출하는 RAM 파일을 열어야 하며, DLL이 즉시 로드되고 "DLLMain()" 함수에서 코드가 실행됩니다.
RP V.20.1.0.312 이상(v.22.0.2.306 포함)의 경우:
'start_RP_V.20.1.0.312.ram' RAM 파일만 편집하고 "%server%"를 실제 서버 호스트 이름 또는 IP로 바꾸고 "%share%"를 실제 공유 이름으로 바꾸십시오. 대상이 RAM 파일을 열면 DLL이 로드될 때까지 잠시 기다려야 합니다.
DLL 이름: pnrs3260.dll mediautil.dll
편집: 거의 1년이 지났지만 RealNetworks는 자사 소프트웨어에서 이렇게 단순하지만 위험한 취약점을 패치하지 않았습니다.
