CVE-2020-8250: Privilege Escalation durch Command Injection im Pulse Secure VPN Linux Client

Das Root-SUID-Executable pulsesvc hat eine Funktion “do_upload”, die die Umgebungsvariable “HOME” unsicher an “system()” übergibt. Indem ein Angreifer die Variable “HOME” so verändert, dass sie spezielle Shell-Zeichen enthält (z. B. “``” oder “$()”), kann er beim Aufruf von “do_upload” beliebige Befehle einschleusen und seine/ihre Rechte auf root erweitern.

NVD-Offenlegung:

Die NVD-Offenlegung für diese Schwachstelle finden Sie hier.

Anforderungen:

Der Exploit zielt auf Code, der nach der Client-Authentifizierung aufgerufen wird. Das bedeutet, dass ein Angreifer zum Ausnutzen dieser Schwachstelle eines der drei folgenden Szenarien benötigt:

• Hosting eines vom Angreifer kontrollierten Pulse-VPN-Servers
• Ein gültiges SSL/TLS-Zertifikat, um einen Dummy-VPN-Server zu hosten (Kann einfach mit Lösungen wie “Let’s Encrypt” umgesetzt werden)
• Verbindung zu einem legitimen Pulse-VPN-Server (Benutzeranmeldedaten/Client-Zertifikate können direkt auf dem kompromittierten Client gefunden werden)

Proof of Concept:

Weitere Details und der Ausnutzungsprozess finden Sie in diesem PDF.