CVE-2020-8248 : Élévation de privilèges via l’exploitation de jokers Zip dans le client Linux Pulse Secure VPN

L’exécutable pulsesvc, SUID root, possède une fonction “do_upload” qui appelle de manière non sécurisée une commande zip avec des jokers (“*”). En écrivant des fichiers portant des noms spécialement conçus dans un dossier contrôlé par l’utilisateur (“~/.pulse_secure/pulse/”), un attaquant peut abuser des jokers afin de passer des options personnalisées à l’exécutable “zip”, ce qui entraîne l’exécution de code.

Divulgation NVD :

La divulgation NVD pour cette vulnérabilité peut être trouvée ici.

Prérequis :

L’exploit cible du code auquel on accède après l’authentification du client, ce qui signifie que pour exploiter cette vulnérabilité, un attaquant devrait se trouver dans l’un des 3 scénarios suivants :

• Héberger un serveur Pulse VPN contrôlé par l’attaquant
• Un certificat SSL/TLS valide pour héberger un serveur VPN factice (Cela peut être facilement réalisé avec des solutions telles que “Let’s Encrypt”)
• Se connecter à un serveur Pulse VPN légitime (Les identifiants utilisateur/certificats clients peuvent être trouvés directement sur le client compromis)

Preuve de concept :

Plus de détails et le processus d’exploitation sont disponibles dans ce PDF.