Hekate - استغلال تنفيذ التعليمات البرمجية عن بُعد في VMWare Workspace ONE Access

• ستيفن سيلي من معهد أبحاث الثغرات الأمنية Qihoo 360
• خادم MySQL الخادع الأصلي بواسطة LandGrey

التفاصيل

• يُنطق Hekate كـ heh-ka-teh
• التاريخ: Tue Feb 22 13:37:00 CST 2022
• الإصدار: 21.08.0.1 (الأحدث)
• الملف: identity-manager-21.08.0.1-19010796_OVF10.ova
• SHA1 للملف: 69e9fb988522c92e98d2910cc106ba4348d61851
• مزيد من التفاصيل التقنية: https://srcincite.io/blog/2022/08/11/i-am-whoever-i-say-i-am-infiltrating-vmware-workspace-one-access-using-a-0-click-exploit.html

الملخص

يمكن لمهاجم غير مصادَق أن يطلق تنفيذ تعليمات برمجية عن بُعد بصلاحيات root ضد جهاز vIDM. بالإضافة إلى ذلك، يمكن للمهاجم إرسال رابط مصمم خصيصًا إلى مشغّل ضحية، وعند النقر عليه، يمكن أن يحقق تنفيذ تعليمات برمجية عن بُعد بصلاحيات root ضد جهاز vIDM.

ملاحظات

• تستغل الثغرات الموجودة في هذا الاستغلال التكوين الافتراضي لـ VMWare Workspace ONE Access

• يحتوي هذا المستودع على استغلالين مختلفين لاستخدام تقنيتين مختلفتين للاستغلال:

  • MySQL JDBC Driver autoDeserialize
  • PostgreSQL JDBC Driver socketFactory

  تمتلك تقنية هجوم PostgreSQL ميزة إضافية تتمثل في أنها لا تتطلب أداة إلغاء تسلسل Java للاستغلال (على الرغم من وجود واحدة افتراضيًا). كميزة إضافية، يمكنك استخدام مكتبة licensecheck-1.1.5.jar لتحفيز إلغاء التسلسل في الفئة com.vmware.licensecheck.LicenseChecker بحيث لا يكون هجوم خارج النطاق مطلوبًا. يرجى الاطلاع على poc المحدد لهذه التقنية.

• الثغرة الرابعة المستغلة في هذا الاستغلال مشابهة لـ CVE-2020-4006 التي استُخدمت في البرية. الميزة في هذا الاستغلال هي:

  • تؤثر الثغرة على المنفذ 443، والذي غالبًا ما يكون مكشوفًا، على عكس CVE-2020-4006 التي تؤثر على المنفذ 8443 وغالبًا لا يكون مكشوفًا.
  • لم يكن بالإمكان تشغيل CVE-2020-4006 عبر تزوير الطلب عبر المواقع، حيث يتم توقع الترويسة X-Vk والتحقق منها في الطلب الوارد.
  • لم يتم ربط CVE-2020-4006 بثغرات إضافية لتحقيق وصول root بدون مصادقة.

  يستخدم هذا الاستغلال 5 ثغرات لتحقيق تنفيذ تعليمات برمجية عن بُعد من نوع 0-click و1-click، وسيتم تفصيلها أدناه.

  1. تجاوز مصادقة ACS في OAuth2TokenResourceController (CVE-2022-22956)

     CVSS: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) تتيح هذه الثغرة لمهاجم بعيد غير مصادَق تجاوز آلية المصادقة وتنفيذ أي عملية.

  2. كشف معلومات BrandingResource getBranding (CVE-2022-22961)

     CVSS: 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) تتيح هذه الثغرة لمهاجم بعيد غير مصادَق تسريب اسم مضيف النظام المستهدف، والذي يمكن استخدامه لاستهداف الضحايا في سيناريو هجوم من جانب العميل.

  3. تزوير الطلب عبر المواقع في DBConnectionCheckController dbCheck (CVE-2022-22959)

     CVSS: 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) تتيح هذه الثغرة للمهاجم دفع المستخدمين للتحقق من عناوين JDBC URIs عشوائية لم يقصدوها.

  4. تنفيذ تعليمات برمجية عن بُعد عبر حقن JDBC في DBConnectionCheckController dbCheck (CVE-2022-22957)

     CVSS: 9.1 (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) تتيح هذه الثغرة للمهاجم إلغاء تسلسل كائنات Java عشوائية، مما قد يسمح بتنفيذ تعليمات برمجية عن بُعد.

  5. تصعيد الامتيازات عبر publishCaCert وgatherConfig (CVE-2022-22960)

     CVSS: 8.8 (AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) تتيح هذه الثغرة لمهاجم محلي يمتلك uid 1001 تصعيد صلاحياته إلى وصول root.

مثال

الهجوم على الخادم باستخدام استغلال PostgreSQL JDBC driver:

الهجوم على العميل باستخدام استغلال MySQL JDBC driver: