CVE-2021-1366

Cisco AnyConnect पोस्चर (HostScan) स्थानीय विशेषाधिकार वृद्धि: CVE-2021-1366 विंडोज के लिए Cisco AnyConnect Secure Mobility Client के इंटरप्रोसेस संचार (IPC) चैनल में एक कमजोरी एक प्रमाणित स्थानीय हमलावर को प्रभावित डिवाइस पर DLL अपहरण हमला करने की अनुमति दे सकती है, यदि AnyConnect क्लाइंट पर VPN पोस्चर (HostScan) मॉड्यूल स्थापित है।
यह POC Cisco Security Service ciscod.exe को 2 priv_file_copy IPC कमांड भेजता है ताकि 2 DLLs को C:\Program Files(x86)\Cisco\Cisco HostScan\bin\ निर्देशिका में कॉपी किया जा सके। Cisco Security Service के पुनरारंभ होने पर, ciscod.exe दुर्भावनापूर्ण dbghelp.dll लोड करता है (DLL प्रॉक्सिंग का उपयोग करके)।

पूर्वापेक्षाएँ

%TEMP% फ़ोल्डर में Cisco\Cisco HostScan निर्देशिका बनाएँ
DLL प्रॉक्सिंग के लिए एक दुर्भावनापूर्ण DLL बनाएँ (देखें https://itm4n.github.io/dll-proxying/)
DLL को dbghelp.dll नाम दें और इसे फ़ोल्डर %TEMP%\Cisco\Cisco HostScan में कॉपी करें
विंडोज मूल "C:\Windows\SysWOW64\dbghelp.dll" को फ़ोल्डर %TEMP%\Cisco\Cisco HostScan में कॉपी करें और इसका नाम बदलकर dbghelp_orig.dll करें
एक प्रोसेस हॉलोइंग टूल तैयार करें (उदा. https://github.com/ivkin25/Process-Hollowing)

निर्देश

इस POC को संकलित करें
निम्न कमांड चलाएँ जो ciscod.exe का प्रोसेस हॉलोइंग करेगा और इसे इस POC प्रक्रिया से बदल देगा जो 2 IPC कमांड भेजती है

ProcessHollowing.exe C:\Program Files(x86)\Cisco\Cisco HostScan\bin\ciscod.exe CVE-2021-1366.exe

2 DLLs, dbghelp.dll और dbghelp_orig.dll, को C:\Program Files(x86)\Cisco\Cisco HostScan\bin\ में कॉपी किया जाना चाहिए
सेवा को पुनरारंभ करें और दुर्भावनापूर्ण DLL के लोड होने की प्रतीक्षा करें

संदर्भ

https://www.coresecurity.com/core-labs/articles/analysis-cisco-anyconnect-posture-hostscan-local-privilege-escalation-cve-2021
https://www.coresecurity.com/core-labs/advisories/cisco-anyconnect-posture-hostscan-security-service-local-privilege-escalation
https://itm4n.github.io/dll-proxying/
https://github.com/ivkin25/Process-Hollowing

CVE-2021-1366

सबसे लोकप्रिय

CVE-2021-1366

पूर्वापेक्षाएँ

निर्देश

संदर्भ