Hekate – Ein Exploit für Remote-Code-Ausführung in VMWare Workspace ONE Access

• Steven Seeley vom Qihoo 360 Vulnerability Research Institute
• Ursprünglicher rogue MySQL-Server von LandGrey

Details

• Hekate wird als heh-ka-teh ausgesprochen
• Datum: Di 22. Feb 13:37:00 CST 2022
• Version: 21.08.0.1 (aktuellste)
• Datei: identity-manager-21.08.0.1-19010796_OVF10.ova
• Datei-SHA1: 69e9fb988522c92e98d2910cc106ba4348d61851
• Weitere technische Details: https://srcincite.io/blog/2022/08/11/i-am-whoever-i-say-i-am-infiltrating-vmware-workspace-one-access-using-a-0-click-exploit.html

Zusammenfassung

Ein nicht authentifizierter Angreifer kann eine Remote-Code-Ausführung als root gegen die vIDM-Appliance auslösen. Zusätzlich kann ein Angreifer einem Opfer-Operator einen speziell präparierten Link senden, der beim Anklicken eine Remote-Code-Ausführung als root gegen die vIDM-Appliance ermöglicht.

Hinweise

• Die Schwachstellen in diesem Exploit nutzen die Standardkonfiguration von VMWare Workspace ONE Access aus

• Dieses Repository enthält zwei verschiedene Exploits, die zwei verschiedene Angriffstechniken nutzen:

  • MySQL-JDBC-Treiber autoDeserialize
  • PostgreSQL-JDBC-Treiber socketFactory

  Die PostgreSQL-Angriffstechnik hat den zusätzlichen Vorteil, dass sie für die Ausnutzung kein Java-Deserialisierungs-Gadget benötigt (obwohl standardmäßig eines vorhanden ist). Ein weiterer Vorteil ist, dass du die Bibliothek licensecheck-1.1.5.jar verwenden kannst, um eine Deserialisierung in der Klasse com.vmware.licensecheck.LicenseChecker auszulösen, sodass kein Out-of-Band-Angriff erforderlich ist. Siehe dazu den spezifischen poc für diese Technik.

• Die 4. Schwachstelle, die in diesem Exploit ausgenutzt wird, ähnelt CVE-2020-4006, das in freier Wildbahn verwendet wurde. Der Vorteil bei diesem Exploit ist:

  • Der Fehler betrifft Port 443, der wahrscheinlich exponiert ist, im Gegensatz zu CVE-2020-4006, das Port 8443 betrifft und wahrscheinlich nicht exponiert ist.
  • CVE-2020-4006 konnte nicht über Cross-Site-Request-Forgery ausgelöst werden; der X-Vk-Header wird von der eingehenden Anfrage erwartet und validiert.
  • CVE-2020-4006 wurde nicht mit zusätzlichen Schwachstellen verkettet, um nicht authentifizierten Root-Zugriff zu erlangen.

  Dieser Exploit nutzt 5 Schwachstellen, um eine 0-Click- und 1-Click-Remote-Code-Ausführung zu erreichen, die im Folgenden detailliert beschrieben werden.

  1. OAuth2TokenResourceController ACS Authentication Bypass (CVE-2022-22956)

     CVSS: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) Diese Schwachstelle erlaubt einem entfernten, nicht authentifizierten Angreifer, den Authentifizierungsmechanismus zu umgehen und beliebige Operationen auszuführen.

  2. BrandingResource getBranding Information Disclosure (CVE-2022-22961)

     CVSS: 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) Diese Schwachstelle erlaubt einem entfernten, nicht authentifizierten Angreifer, den Hostnamen des Zielsystems preiszugeben, der verwendet werden kann, um Opfer in einem Client-seitigen Angriffsszenario ins Visier zu nehmen.

  3. DBConnectionCheckController dbCheck Cross Site Request Forgery (CVE-2022-22959)

     CVSS: 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) Diese Schwachstelle erlaubt es einem Angreifer, Benutzer dazu zu verleiten, beliebige JDBC-URIs zu validieren, die sie nicht beabsichtigt hatten.

  4. DBConnectionCheckController dbCheck JDBC Injection Remote Code Execution (CVE-2022-22957)

     CVSS: 9.1 (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) Diese Schwachstelle erlaubt es einem Angreifer, beliebige Java-Objekte zu deserialisieren, was eine Remote-Code-Ausführung ermöglichen kann.

  5. publishCaCert und gatherConfig Privilege Escalation (CVE-2022-22960)

     CVSS: 8.8 (AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) Diese Schwachstelle erlaubt es einem lokalen Angreifer mit der UID 1001, seine Privilegien auf Root-Zugriff auszuweiten.

Beispiel

Angriff auf der Serverseite mithilfe des PostgreSQL-JDBC-Treiber-Exploits:

Angriff auf der Clientseite mithilfe des MySQL-JDBC-Treiber-Exploits: