CVE-2022-24644

ZZ Inc. KeyMouse 3.08 (Windows) Vulnerabilidade de Execução Remota de Código em Atualização Não Autenticada

Uso: python3 cve-2022-24644_poc.py

Detalhes no relatório em gerr.re.

Passos para reproduzir

1. Instale o KeyMouse Windows 3.08;
2. Configure o spoof de www.keymouse.com para o IP do atacante;
   • Para a prova de conceito, é mais fácil editar o arquivo c:\windows\system32\drivers\etc\hosts no alvo.
     • Os atacantes podem, por exemplo, usar:
       • roteadores/switches/DNS mal configurados
       • envenenamento de cache DNS
       • envenenamento de cache ARP
3. Compile o proof.c no atacante, por exemplo, usando i686-w64-mingw32-gcc proof.c -o proof.exe;

#include <windows.h>
int main(int argc, char const *argv[]){	
	WinExec("cmd.exe",1);
	return TRUE;
}

4. Execute o script de prova de conceito no atacante;
5. Inicie o KeyMouse no alvo e acione uma atualização:
   • Menu do Aplicativo: Ajuda -> Verificar Atualizações
   • Barra de Tarefas: botão direito do mouse no ícone da barra de tarefas -> Verificar Atualizações (ou Instalar Atualizações)
6. Continue com a atualização.

Como resultado, o proof.exe é executado no contexto do usuário Administrador com alta integridade.