CVE-2020-8248: Privilege Escalation durch Zip-Wildcard-Exploit im Pulse Secure VPN Linux Client

Das root-SUID-Executable pulsesvc besitzt eine Funktion „do_upload“, die unsicher einen zip-Befehl mit Wildcards („*“) aufruft. Durch das Schreiben von Dateien mit speziell gestalteten Namen in ein benutzerkontrolliertes Verzeichnis („~/.pulse_secure/pulse/“) kann ein Angreifer die Wildcards missbrauchen, um benutzerdefinierte Flags an das „zip“-Executable zu übergeben, was zur Codeausführung führt.

NVD-Offenlegung:

Die NVD-Offenlegung für diese Schwachstelle ist hier zu finden.

Anforderungen:

Der Exploit zielt auf Code ab, der nach der Client-Authentifizierung aufgerufen wird. Das bedeutet, dass ein Angreifer für die Ausnutzung dieser Schwachstelle eines der folgenden drei Szenarien benötigt:

• Einen vom Angreifer kontrollierten Pulse-VPN-Server hosten
• Ein gültiges SSL/TLS-Zertifikat, um einen Dummy-VPN-Server zu hosten (kann leicht mit Lösungen wie „Let’s Encrypt“ bewerkstelligt werden)
• Verbindung zu einem legitimen Pulse-VPN-Server herstellen (Benutzeranmeldeinformationen/Clientzertifikate können direkt auf dem kompromittierten Client gefunden werden)

Proof of Concept:

Weitere Details und der Ausnutzungsprozess sind in diesem PDF zu finden.