CVE-2020-8248: Escalada de Privilegios mediante Explotación de Comodín Zip en el Cliente Linux de Pulse Secure VPN

El ejecutable SUID root pulsesvc tiene una función “do_upload” que llama de forma insegura al comando zip con comodines (“*”). Al escribir archivos con nombres especialmente diseñados en una carpeta controlada por el usuario (“~/.pulse_secure/pulse/”), un atacante puede abusar de los comodines para pasar opciones personalizadas al ejecutable “zip”, lo que resulta en la ejecución de código.

Divulgación de NVD:

La divulgación de NVD para esta vulnerabilidad se puede encontrar aquí.

Requisitos:

El exploit apunta a código al que se accede después de la autenticación del cliente, lo que significa que para explotar esta vulnerabilidad un atacante necesitaría uno de los 3 escenarios:

• Alojar un servidor Pulse VPN controlado por el atacante
• Un certificado SSL/TLS válido para alojar un servidor VPN ficticio (puede hacerse fácilmente con soluciones como “Let’s Encrypt”)
• Conectarse a un servidor Pulse VPN legítimo (las credenciales de usuario/certificados de cliente pueden encontrarse directamente en el cliente comprometido)

Prueba de Concepto:

Más detalles y el proceso de explotación se pueden encontrar en este PDF.