CVE-2020-8250: Escalada de Privilegios mediante Inyección de Comandos en el Cliente Linux de Pulse Secure VPN

El ejecutable SUID root pulsesvc tiene una función “do_upload” que pasa de forma insegura la variable de entorno “HOME” a “system()”. Al alterar la variable “HOME” para que contenga caracteres especiales de shell (p. ej.: “``” o “$()”), un atacante puede inyectar comandos arbitrarios cuando se llama a “do_upload” y puede elevar sus privilegios a root.

Divulgación NVD:

La divulgación NVD de esta vulnerabilidad se puede encontrar aquí.

Requisitos:

El exploit apunta a código al que se accede tras la autenticación del cliente, lo que significa que, para explotar esta vulnerabilidad, un atacante necesitaría uno de los 3 escenarios:

• Alojar un servidor Pulse VPN controlado por el atacante
• Un certificado SSL/TLS válido para alojar un servidor VPN simulado (se puede hacer fácilmente con soluciones como “Let’s Encrypt”)
• Conectarse a un servidor Pulse VPN legítimo (las credenciales de usuario/los certificados de cliente pueden encontrarse directamente en el cliente comprometido)

Prueba de Concepto:

Se pueden encontrar más detalles y el proceso de explotación en este PDF.