federella/cve-2023-41717Dieses Repository soll eine Analyse und einen PoC für CVE-2023-41717 bereitstellen.
Unangemessene Dateityp-Kontrolle in Zscaler Proxy Versionen 3.6.1.25 und früher ermöglicht lokalen Angreifern, die Einschränkungen für Datei-Downloads/Uploads zu umgehen.
Im Sommer 2022 habe ich eine Sicherheitslücke im ZScaler Proxy (Versionen 3.6.1.25 und früher) gefunden. Diese Schwachstelle ermöglicht es lokalen Angreifern, die Einschränkung für Downloads/Uploads von passwortgeschützten Archiven zu umgehen, indem sie Tools wie Burp oder sogar native Microsoft-Dienstprogramme wie Bitsadmin verwenden, welches auf dem Background Intelligent Transfer Service (BITS)-Protokoll basiert.
Laut Microsofts Dokumentation definiert das BITS-Protokoll „eine Möglichkeit, große Nutzlasten von einem Client an einen HTTP-Server oder umgekehrt zu übertragen, selbst bei Unterbrechungen, indem die Nutzlast in mehrere Fragmente gesendet wird“. Dies ermöglicht die Umgehung von Beschränkungen basierend auf dem Dateityp, da Zscaler nicht in der Lage ist, die Datei korrekt über mehrere Anfragen hinweg zu rekonstruieren.
Obwohl sich dieser Proof of Concept nur auf den Download-Aspekt konzentriert, gilt diese Schwachstelle auch für Uploads.
In diesem Abschnitt werden zwei verschiedene Methoden zur Umgehung der Zscaler-Einschränkungen beim Herunterladen von passwortgeschützten Archiven hervorgehoben. Die Tests wurden mit Version 3.6.1.25 des Clients durchgeführt, unter Verwendung der folgenden URL.
Die erste Methode beinhaltet das Modifizieren der HTTP-Anfrage, was entweder über einen Browser oder ein Tool wie Burp Suite erfolgen kann. Für diesen Test habe ich Ersteres gewählt.
Das Bild unten zeigt die Anfrage, die von Zscaler abgefangen und blockiert wird. Die Anfrage wird dann erneut gesendet, nachdem der Range-Header mit dem Wert bytes = 0-x hinzugefügt wurde, wobei x ein beliebiger Wert kleiner als die gesamte Dateigröße ist.
Sobald die Anfrage erneut gesendet wird, wird eine Antwort mit dem Statuscode „206 Partial Content“ empfangen. Die Antwort-Header zeigen die gesamte Dateigröße an, während der Antwort-Payload in base64 kodiert ist.
Die Anfragen werden wiederholt, indem der Byte-Bereichswert manuell erhöht wird, bis das letzte Dateifragment erreicht ist.
Der resultierende Payload kann auf verschiedene Weise rekonstruiert werden: Für diesen Test wurde ein benutzerdefiniertes PowerShell-Skript verwendet (Sie finden es in Reconstruct-Payload.ps1).
Der MD5-Hash der rekonstruierten Zip-Datei (CE6CFFEA60C6CDF40C998E56B6EFBD20) stimmt mit dem erwarteten Hash auf Virus Total überein.
Die zweite Methode nutzt das Microsoft BITS-Protokoll, das die Download-Anfragen nativ in Blöcke aufteilt.
Dieser Test wurde mit dem CLI-Tool bitsadmin.exe und dem folgenden Befehlszeilenbefehl durchgeführt:
bitsadmin.exe /transfer <job name> /download /priority normal <URL> <path_destination_file>
Der MD5-Hash der resultierenden Zip-Datei stimmt mit dem im vorherigen Abschnitt gefundenen überein.
