CVE-2020-8250: Élévation de privilèges via injection de commandes dans le client Linux Pulse Secure VPN

L'exécutable SUID root pulsesvc possède une fonction “do_upload” qui transmet de manière non sécurisée la variable d'environnement “HOME” à “system()”. En modifiant la variable “HOME” pour qu'elle contienne des caractères spéciaux du shell (par exemple “``” ou “$()”), un attaquant peut injecter des commandes arbitraires lorsque “do_upload” est appelé et élever ses privilèges à ceux de root.

Divulgation NVD:

La divulgation NVD pour cette vulnérabilité peut être trouvée ici.

Exigences:

L'exploit cible du code accessible après l'authentification du client, ce qui signifie que pour exploiter cette vulnérabilité, un attaquant aurait besoin de l'un des 3 scénarios:

• Héberger un serveur Pulse VPN contrôlé par l'attaquant
• Un certificat SSL/TLS valide pour héberger un serveur VPN factice (cela peut être facilement fait avec des solutions telles que “Let’s Encrypt”)
• Se connecter à un serveur Pulse VPN légitime (les identifiants utilisateur/certificats client peuvent être trouvés directement sur le client compromis)

Preuve de concept:

Plus de détails et le processus d'exploitation peuvent être trouvés dans ce PDF.