CVE-2022-24644

ZZ Inc. KeyMouse 3.08 (Windows) 인증되지 않은 업데이트 원격 코드 실행 취약점

사용법: python3 cve-2022-24644_poc.py

세부 내용은 gerr.re의 보고서를 참조하세요.

재현 단계

1. KeyMouse Windows 3.08을 설치합니다;
2. www.keymouse.com이 공격자 IP를 가리키도록 스푸핑합니다;
   • 개념 증명(PoC)을 위해 대상 시스템에서 c:\windows\system32\drivers\etc\hosts를 편집하는 것이 가장 쉽습니다.
     • 공격자는 예를 들어 다음을 사용할 수 있습니다:
       • 잘못 구성된 라우터/스위치/DNS
       • DNS 캐시 포이즈닝
       • ARP 캐시 포이즈닝
3. 공격자 시스템에서 proof.c를 컴파일합니다(예: i686-w64-mingw32-gcc proof.c -o proof.exe 사용);

#include <windows.h>
int main(int argc, char const *argv[]){	
	WinExec("cmd.exe",1);
	return TRUE;
}

4. 공격자 시스템에서 개념 증명 스크립트를 실행합니다;
5. 대상 시스템에서 KeyMouse를 시작하고 업데이트를 트리거합니다:
   • 애플리케이션 메뉴: Help -> Check For Updates
   • 작업 표시줄: 작업 표시줄 아이콘을 마우스 오른쪽 버튼으로 클릭 -> Check Updates (또는 Install Updates)
6. 업데이트를 계속 진행합니다.

결과적으로 proof.exe는 높은 무결성 수준의 Administrator 사용자 컨텍스트에서 실행됩니다.