CVE-2022-27438

Caphyon Ltd Advanced Installer 19.3 "CustomDetection" 更新检查远程代码执行漏洞。

用法：python3 cve-2022-27438_poc.py

详情报告见 gerr.re。

复现步骤

对于其他受影响的产品，你需要更改更新服务器和更新配置文件名。这些通常可以在应用程序安装目录下的更新程序 .ini 文件中找到。

1. 安装 Advanced Installer 19.3；
2. 将 www.advancedinstaller.com 欺骗解析到我们的攻击者 IP；
   • 对于概念验证，最简单的方法是在目标上编辑 c:\windows\system32\drivers\etc\hosts 文件。
     • 攻击者可能使用例如：
       • 配置不当的路由器/交换机/DNS
       • DNS 欺骗/缓存投毒
       • ARP 欺骗/缓存投毒
3. 生成自签名证书；
   • 例如使用 openssl req -new -x509 -keyout www.advancedinstaller.com.pem -out www.advancedinstaller.com.pem -days 365 -nodes -subj "/CN=www.advancedinstaller.com"
4. 在攻击者上运行概念验证脚本；
5. 启动 Advanced Installer 以自动触发更新，或者
   • 等待 2 天自动触发更新，或者
   • 通过应用程序菜单/设置手动触发更新，或者
   • 通过启动位于 C:\Program Files (x86)\Caphyon\Advanced Installer 19.3\bin\x86\updater.exe 的更新程序手动触发更新；
6. 如果出现 Windows 不可信证书安全警报，请继续操作。

结果，在 CustomDetection 中指定的二进制文件会以 CustomDetectionParameters 中指定的参数在当前用户的上下文中执行。