CVE-2020-3433, CVE-2020-3434, और CVE-2020-3435 के लिए PoCs

मई 2020 में विंडोज के लिए Cisco AnyConnect Secure Mobility Client पर पाए गए तीन कमजोरियों के PoCs और तकनीकी विवरण:

• CVE-2020-3433 - उच्च (CVSS स्कोर 7.8) - एक स्थानीय विशेषाधिकार उन्नयन
• CVE-2020-3434 - मध्यम (CVSS स्कोर 5.5) - एक सेवा अस्वीकृति
• CVE-2020-3435 - मध्यम (CVSS स्कोर 5.5) - एक "Always-On" बायपास (VPN प्रोफ़ाइल संशोधन)

तकनीकी विवरण इस रिपॉजिटरी में उपलब्ध हैं: Details.md

CVE-2020-3433: विशेषाधिकार उन्नयन (AnyConnect < 4.9.00086)

विवरण

विंडोज के लिए Cisco AnyConnect Secure Mobility Client के इंटरप्रोसेस संचार (IPC) चैनल में एक कमजोरी एक प्रमाणित, स्थानीय हमलावर को DLL हाईजैकिंग हमला करने की अनुमति दे सकती है। इस कमजोरी का शोषण करने के लिए, हमलावर के पास विंडोज सिस्टम पर वैध क्रेडेंशियल्स होने चाहिए।

यह कमजोरी रन टाइम पर एप्लिकेशन द्वारा लोड किए जाने वाले संसाधनों के अपर्याप्त सत्यापन के कारण है। एक हमलावर AnyConnect प्रक्रिया को एक तैयार IPC संदेश भेजकर इस कमजोरी का शोषण कर सकता है। एक सफल शोषण हमलावर को प्रभावित मशीन पर SYSTEM विशेषाधिकारों के साथ मनमाना कोड निष्पादित करने की अनुमति दे सकता है। इस कमजोरी का शोषण करने के लिए, हमलावर के पास विंडोज सिस्टम पर वैध क्रेडेंशियल्स होने चाहिए।

Cisco Advisory

शोषण

CVE-2020-3433-privesc.exe चलाएं। एक SYSTEM शेल स्पॉन हो जाएगा।

CVE-2020-3434: सेवा अस्वीकृति (AnyConnect < 4.9.01095)

विवरण

विंडोज के लिए Cisco AnyConnect Secure Mobility Client के इंटरप्रोसेस संचार (IPC) चैनल में एक कमजोरी एक प्रमाणित, स्थानीय हमलावर को प्रभावित डिवाइस पर सेवा अस्वीकृति (DoS) स्थिति उत्पन्न करने की अनुमति दे सकती है। इस कमजोरी का शोषण करने के लिए, हमलावर के पास विंडोज सिस्टम पर वैध क्रेडेंशियल्स होने चाहिए।

यह कमजोरी उपयोगकर्ता द्वारा प्रदान किए गए इनपुट के अपर्याप्त सत्यापन के कारण है। एक हमलावर प्रभावित डिवाइस पर AnyConnect प्रक्रिया को एक तैयार IPC संदेश भेजकर इस कमजोरी का शोषण कर सकता है। एक सफल शोषण हमलावर को AnyConnect प्रक्रिया को रोकने की अनुमति दे सकता है, जिससे डिवाइस पर DoS स्थिति उत्पन्न हो सकती है। इस कमजोरी का शोषण करने के लिए, हमलावर के पास विंडोज सिस्टम पर वैध क्रेडेंशियल्स होने चाहिए।

Cisco Advisory

शोषण

CVE-2020-3434-DoS.exe चलाएं। AnyConnect का VPN Agent सेवा बंद हो जाएगी।

CVE-2020-3435: VPN प्रोफ़ाइल संशोधन

विवरण

विंडोज के लिए Cisco AnyConnect Secure Mobility Client के इंटरप्रोसेस संचार (IPC) चैनल में एक कमजोरी एक प्रमाणित, स्थानीय हमलावर को प्रभावित डिवाइस पर VPN प्रोफाइल को ओवरराइट करने की अनुमति दे सकती है। इस कमजोरी का शोषण करने के लिए, हमलावर के पास विंडोज सिस्टम पर वैध क्रेडेंशियल्स होने चाहिए।

यह कमजोरी उपयोगकर्ता द्वारा प्रदान किए गए इनपुट के अपर्याप्त सत्यापन के कारण है। एक हमलावर प्रभावित डिवाइस पर AnyConnect प्रक्रिया को एक तैयार IPC संदेश भेजकर इस कमजोरी का शोषण कर सकता है। एक सफल शोषण हमलावर को VPN प्रोफ़ाइल फ़ाइलों को संशोधित करने की अनुमति दे सकता है। इस कमजोरी का शोषण करने के लिए, हमलावर के पास विंडोज सिस्टम पर वैध क्रेडेंशियल्स होने चाहिए।

Cisco Advisory

शोषण

CVE-2020-3435-profile-modification.exe bypass "C:\path\to\profile\to\overwrite.xml" चलाएं। VPN प्रोफ़ाइल अधिलेखित हो जाएगी (PoC में एम्बेडेड एक प्रोफ़ाइल द्वारा)। प्रोफ़ाइल का एक बैकअप वर्तमान फ़ोल्डर में (वर्तमान तिथि और समय के साथ) लिखा जाएगा।

या

CVE-2020-3435-profile-modification.exe restore "C:\path\to\profile.xml" चलाएं। C:\path\to\profile.xml पुनर्स्थापित हो जाएगी (C:\path\to\profile.xml will be copied to C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\profile.xml)

अतिरिक्त जानकारी

• ये कमजोरियाँ CVE-2020-3153 कमजोरी के विश्लेषण के बाद पाई गईं (मेरे PoC और नोट्स यहां उपलब्ध हैं: link)
• C# कोड और DLL स्रोत कोड की रूपरेखा CVE-2015-6305 के लिए Google Project Zero PoC पर आधारित है: link
• मैंने AnyConnect 64-बिट संस्करणों का परीक्षण नहीं किया है। vpndownloader.exe का पथ संभवतः संशोधित किया जाना चाहिए।

Antoine Goichot - सितंबर 2020

GitHub | Twitter | LinkedIn