Hekate - Un exploit de ejecución remota de código en VMWare Workspace ONE Access

• Steven Seeley del Qihoo 360 Vulnerability Research Institute
• Servidor MySQL malicioso original de LandGrey

Detalles

• Hekate se pronuncia heh-ka-teh
• Fecha: Tue Feb 22 13:37:00 CST 2022
• Versión: 21.08.0.1 (última)
• Archivo: identity-manager-21.08.0.1-19010796_OVF10.ova
• SHA1 del archivo: 69e9fb988522c92e98d2910cc106ba4348d61851
• Más detalles técnicos: https://srcincite.io/blog/2022/08/11/i-am-whoever-i-say-i-am-infiltrating-vmware-workspace-one-access-using-a-0-click-exploit.html

Resumen

Un atacante no autenticado puede desencadenar una ejecución remota de código como root contra el dispositivo vIDM. Además, un atacante puede enviar un enlace especialmente diseñado a un operador víctima que, al hacer clic, puede lograr la ejecución remota de código como root contra el dispositivo vIDM.

Notas

• Las vulnerabilidades de este exploit aprovechan la configuración predeterminada de VMWare Workspace ONE Access

• Este repositorio contiene dos exploits diferentes para aprovechar dos técnicas de explotación distintas:

  • MySQL JDBC Driver autoDeserialize
  • PostgreSQL JDBC Driver socketFactory

  La técnica de ataque de PostgreSQL tiene la ventaja adicional de que no requiere un gadget de deserialización de Java para su explotación (aunque existe uno por defecto). Como ventaja adicional, puedes usar la librería licensecheck-1.1.5.jar para desencadenar una deserialización en la clase com.vmware.licensecheck.LicenseChecker de modo que no se requiera un ataque fuera de banda. Consulta el poc específico para esa técnica.

• La cuarta vulnerabilidad aprovechada en este exploit es similar a CVE-2020-4006, que se utilizó en ataques reales. La ventaja de este exploit es que:

  • El fallo afecta al puerto 443, que probablemente esté expuesto, a diferencia de CVE-2020-4006, que afecta al puerto 8443 y probablemente no esté expuesto.
  • CVE-2020-4006 no podía activarse mediante falsificación de solicitudes entre sitios; el encabezado X-Vk se espera y se valida en la solicitud entrante.
  • CVE-2020-4006 no se encadenó con vulnerabilidades adicionales para lograr acceso root no autenticado.

  Este exploit utiliza 5 vulnerabilidades para lograr una ejecución remota de código 0-click y 1-click, que se detallarán a continuación.

  1. OAuth2TokenResourceController ACS Bypass de Autenticación (CVE-2022-22956)

     CVSS: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) Esta vulnerabilidad permite a un atacante remoto no autenticado omitir el mecanismo de autenticación y ejecutar cualquier operación.

  2. BrandingResource getBranding Divulgación de Información (CVE-2022-22961)

     CVSS: 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) Esta vulnerabilidad permite a un atacante remoto no autenticado filtrar el nombre de host del sistema objetivo, que puede utilizarse para atacar a las víctimas en un escenario de ataque del lado del cliente.

  3. DBConnectionCheckController dbCheck Falsificación de Solicitudes entre Sitios (CVE-2022-22959)

     CVSS: 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) Esta vulnerabilidad permite a un atacante inducir a los usuarios a validar URIs JDBC arbitrarias que no tenían intención de validar.

  4. DBConnectionCheckController dbCheck Inyección JDBC de Ejecución Remota de Código (CVE-2022-22957)

     CVSS: 9.1 (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) Esta vulnerabilidad permite a un atacante deserializar objetos Java arbitrarios, lo que puede permitir la ejecución remota de código.

  5. publishCaCert y gatherConfig Escalada de Privilegios (CVE-2022-22960)

     CVSS: 8.8 (AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) Esta vulnerabilidad permite a un atacante local con uid 1001 escalar sus privilegios hasta el acceso root.

Ejemplo

Atacando del lado del servidor usando el exploit del controlador JDBC de PostgreSQL:

Atacando del lado del cliente usando el exploit del controlador JDBC de MySQL: