CVE-2020-8248: تصعيد الامتيازات عبر استغلال حرف البدل في Zip في عميل Pulse Secure VPN لنظام Linux

الملف التنفيذي الجذر SUID المسمى pulsesvc يحتوي على دالة “do_upload” تستدعي بشكل غير آمن أمر zip مع أحرف بدل (“*”). من خلال كتابة ملفات بأسماء مصممة خصيصًا، في مجلد يتحكم فيه المستخدم (“~/.pulse_secure/pulse/”)، يمكن للمهاجم إساءة استخدام أحرف البدل لتمرير خيارات مخصصة إلى الملف التنفيذي “zip” مما يؤدي إلى تنفيذ التعليمات البرمجية.

إفصاح NVD:

يمكن العثور على إفصاح NVD لهذه الثغرة الأمنية هنا.

المتطلبات:

يستهدف الاستغلال تعليمات برمجية يتم الوصول إليها بعد مصادقة العميل، وهذا يعني أنه من أجل استغلال هذه الثغرة الأمنية، سيحتاج المهاجم إلى واحد من السيناريوهات الثلاثة:

• استضافة خادم Pulse VPN يتحكم فيه المهاجم
• شهادة SSL/TLS صالحة لاستضافة خادم VPN وهمي (يمكن القيام بذلك بسهولة باستخدام حلول مثل “Let’s Encrypt”)
• الاتصال بخادم Pulse VPN شرعي (قد يتم العثور على بيانات اعتماد المستخدم/شهادات العميل مباشرة على العميل المخترق)

إثبات المفهوم:

يمكن العثور على مزيد من التفاصيل وعملية الاستغلال في هذا PDF.