CVE-2022-24644

ZZ Inc. KeyMouse 3.08 (Windows) Уязвимость удаленного выполнения кода при неаутентифицированном обновлении

Использование: python3 cve-2022-24644_poc.py

Подробности в отчете на gerr.re.

Шаги для воспроизведения

1. Установите KeyMouse Windows 3.08;
2. Настройте подмену www.keymouse.com на IP-адрес атакующего;
   • Для доказательства концепции проще всего отредактировать c:\windows\system32\drivers\etc\hosts на цели.
     • Атакующие могут, например, использовать:
       • неправильно настроенные маршрутизаторы/коммутаторы/DNS
       • отравление кэша DNS
       • отравление ARP-кэша
3. Скомпилируйте proof.c на атакующем, например, с помощью i686-w64-mingw32-gcc proof.c -o proof.exe;

#include <windows.h>
int main(int argc, char const *argv[]){	
	WinExec("cmd.exe",1);
	return TRUE;
}

4. Запустите скрипт доказательства концепции на атакующем;
5. Запустите KeyMouse на цели и инициируйте обновление:
   • Меню приложения: Справка -> Проверить обновления
   • Панель задач: правой кнопкой мыши по значку на панели задач -> Проверить обновления (или Установить обновления)
6. Продолжите обновление.

В результате proof.exe выполняется в контексте пользователя Администратор с высоким уровнем целостности.