CVE-2018-5354

Cliente de Restablecimiento de Contraseña ANIXIS - Escalada de Privilegios/RCE

Información

Vendedor: ANIXIS
Producto: Cliente de Restablecimiento de Contraseña ANIXIS
Versiones Afectadas: Antes de la versión 3.22
Investigador: Jason Juntunen alias @missing0x00 (https://github.com/missing0x00)
CVSS: 8.8

Descripción

El módulo GINA/CP personalizado en el Cliente de Restablecimiento de Contraseña ANIXIS anterior a la versión 3.22 permite a atacantes remotos ejecutar código y escalar privilegios mediante suplantación. Cuando el cliente está configurado para usar HTTP, no autentica el servidor previsto antes de abrir una ventana del navegador. Un atacante no autenticado capaz de realizar un ataque de suplantación puede redirigir el navegador para obtener ejecución en el contexto del proceso WinLogon.exe. Si la Autenticación a Nivel de Red no está aplicada, la vulnerabilidad puede ser explotada a través de RDP.

Prueba de Concepto

1. Realizar un ataque de suplantación usando cualquier método disponible (ARP, acceso físico, etc.), redirigiendo el tráfico destinado al servidor de restablecimiento de contraseña previsto
2. Ejecutar un servidor web en el host atacante, sirviendo un archivo binario basura llamado pwreset
3. Conectarse por RDP al host objetivo (si NLA no está aplicada - de lo contrario, este ataque requiere acceso físico)
4. Hacer clic en el enlace o mosaico "Restablecer Contraseña" en la pantalla de inicio de sesión
5. El navegador integrado del cliente será redirigido al servidor web en el host atacante, abriendo un cuadro de diálogo de Descarga de Archivos
6. Hacer clic en Guardar, abriendo un cuadro de diálogo del Explorador de Archivos
7. Mayús+Clic Derecho > "Abrir ventana de comandos aquí"

Mitigación

Actualice el software del cliente en todos los dispositivos afectados. Esta vulnerabilidad fue corregida en la versión 3.22 del cliente (29 de enero de 2018). Además, asegúrese de que el servidor y el cliente estén configurados para usar HTTPS con un certificado válido.

Referencias

ID del Vendedor: APRSA005
Enlace del Vendedor: https://anixis.com/products/apr/default.htm
Enlace de Divulgación: https://github.com/missing0x00/CVE-2018-5354
Enlace NIST CVE: https://nvd.nist.gov/vuln/detail/CVE-2018-5354
Calculadora CVSS: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Descargo de responsabilidad

La información contenida en este aviso se proporciona "tal cual", sin garantías de idoneidad para el uso o de otro tipo. Se otorga permiso para la redistribución de este aviso, siempre que no sea alterado excepto por su formateo, y que se otorgue el crédito correspondiente. Se otorga permiso explícitamente para su inserción en bases de datos de vulnerabilidades y similares, siempre que se otorgue el crédito correspondiente al autor. El autor no es responsable por el mal uso de la información contenida aquí y no acepta responsabilidad por ningún daño causado por el uso o mal uso de esta información. El autor prohíbe cualquier uso malicioso de la información relacionada con la seguridad o los exploits por parte del autor o de otros.

missingnull