Hekate - Un exploit d'exécution de code à distance pour VMWare Workspace ONE Access

• Steven Seeley de l'Institut de recherche sur les vulnérabilités de Qihoo 360
• Serveur MySQL malveillant original par LandGrey

Détails

• Hekate se prononce heh-ka-teh
• Date : mar. 22 févr. 13 h 37 min 00 s CST 2022
• Version : 21.08.0.1 (dernière)
• Fichier : identity-manager-21.08.0.1-19010796_OVF10.ova
• SHA1 du fichier : 69e9fb988522c92e98d2910cc106ba4348d61851
• Détails techniques supplémentaires : https://srcincite.io/blog/2022/08/11/i-am-whoever-i-say-i-am-infiltrating-vmware-workspace-one-access-using-a-0-click-exploit.html

Résumé

Un attaquant non authentifié peut déclencher une exécution de code à distance en tant que root contre l'appliance vIDM. De plus, un attaquant peut envoyer un lien spécialement conçu à un opérateur victime qui, lorsqu'il est cliqué, permet d'obtenir une exécution de code à distance en tant que root contre l'appliance vIDM.

Remarques

• Les vulnérabilités de cet exploit tirent parti de la configuration par défaut de VMWare Workspace ONE Access

• Ce dépôt contient deux exploits différents pour tirer parti de deux techniques d'exploitation distinctes :

  • autoDeserialize du pilote JDBC MySQL
  • socketFactory du pilote JDBC PostgreSQL

  La technique d'attaque PostgreSQL présente l'avantage supplémentaire de ne pas nécessiter de gadget de désérialisation Java pour l'exploitation (même si un tel gadget existe par défaut). Comme avantage supplémentaire, vous pouvez utiliser la bibliothèque licensecheck-1.1.5.jar pour déclencher une désérialisation dans la classe com.vmware.licensecheck.LicenseChecker afin qu'une attaque hors bande ne soit pas nécessaire. Veuillez consulter la poc spécifique pour cette technique.

• La 4e vulnérabilité abusée dans cet exploit est similaire à CVE-2020-4006 qui a été utilisée dans la nature. L'avantage de cet exploit est que :

  • Le bug impacte le port 443, qui est probablement exposé contrairement à CVE-2020-4006 qui impacte le port 8443 et n'est probablement pas exposé.
  • CVE-2020-4006 ne pouvait pas être déclenchée via une falsification de requête intersite, l'en-tête X-Vk étant attendu et validé à partir de la requête entrante.
  • CVE-2020-4006 n'était pas chaînée avec des vulnérabilités supplémentaires pour parvenir à un accès root non authentifié.

  Cet exploit utilise 5 vulnérabilités pour parvenir à une exécution de code à distance en 0-clic et 1-clic, détaillées ci-dessous.

  1. Contournement de l'authentification ACS de OAuth2TokenResourceController (CVE-2022-22956)

     CVSS : 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) Cette vulnérabilité permet à un attaquant distant et non authentifié de contourner le mécanisme d'authentification et d'exécuter n'importe quelle opération.

  2. Divulgation d'informations getBranding de BrandingResource (CVE-2022-22961)

     CVSS : 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) Cette vulnérabilité permet à un attaquant distant et non authentifié de divulguer le nom d'hôte du système cible, qui peut être utilisé pour cibler des victimes dans un scénario d'attaque côté client.

  3. Falsification de requête intersite dbCheck de DBConnectionCheckController (CVE-2022-22959)

     CVSS : 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) Cette vulnérabilité permet à un attaquant d'inciter les utilisateurs à valider des URI JDBC arbitraires qu'ils n'avaient pas l'intention de valider.

  4. Injection JDBC dbCheck de DBConnectionCheckController menant à une exécution de code à distance (CVE-2022-22957)

     CVSS : 9.1 (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) Cette vulnérabilité permet à un attaquant de désérialiser des objets Java arbitraires, ce qui peut permettre une exécution de code à distance.

  5. Élévation de privilèges publishCaCert et gatherConfig (CVE-2022-22960)

     CVSS : 8.8 (AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) Cette vulnérabilité permet à un attaquant local disposant de l'uid 1001 d'élever ses privilèges à un accès root.

Exemple

Attaque côté serveur à l'aide de l'exploit du pilote JDBC PostgreSQL :

Attaque côté client à l'aide de l'exploit du pilote JDBC MySQL :