Hekate - VMWare Workspace ONE Access रिमोट कोड निष्पादन एक्सप्लॉइट

• क्यूहू 360 भेद्यता अनुसंधान संस्थान के स्टीवन सीली
• LandGrey द्वारा मूल दुष्ट MySQL सर्वर

विवरण

• Hekate का उच्चारण हेह-का-तेह है
• दिनांक: Tue Feb 22 13:37:00 CST 2022
• संस्करण: 21.08.0.1 (नवीनतम)
• फ़ाइल: identity-manager-21.08.0.1-19010796_OVF10.ova
• फ़ाइल SHA1: 69e9fb988522c92e98d2910cc106ba4348d61851
• आगे के तकनीकी विवरण: https://srcincite.io/blog/2022/08/11/i-am-whoever-i-say-i-am-infiltrating-vmware-workspace-one-access-using-a-0-click-exploit.html

सारांश

एक अनधिकृत हमलावर vIDM उपकरण के विरुद्ध रूट के रूप में रिमोट कोड निष्पादन को ट्रिगर कर सकता है। इसके अतिरिक्त, एक हमलावर पीड़ित ऑपरेटर को एक विशेष रूप से तैयार लिंक भेज सकता है, जिसे क्लिक करने पर, vIDM उपकरण के विरुद्ध रूट के रूप में रिमोट कोड निष्पादन प्राप्त किया जा सकता है।

नोट्स

• इस एक्सप्लॉइट में भेद्यताएं VMWare Workspace ONE Access की डिफ़ॉल्ट कॉन्फ़िगरेशन का लाभ उठाती हैं

• इस रिपॉजिटरी में शोषण की दो अलग-अलग तकनीकों का लाभ उठाने के लिए दो अलग-अलग एक्सप्लॉइट शामिल हैं:

  • MySQL JDBC ड्राइवर autoDeserialize
  • PostgreSQL JDBC ड्राइवर socketFactory

  PostgreSQL हमला तकनीक का एक अतिरिक्त लाभ यह है कि इसे शोषण के लिए Java डीसेरियलाइज़ेशन गैजेट की आवश्यकता नहीं होती है (हालांकि डिफ़ॉल्ट रूप से एक मौजूद होता है)। एक अतिरिक्त लाभ के रूप में, आप com.vmware.licensecheck.LicenseChecker क्लास में डीसेरियलाइज़ेशन ट्रिगर करने के लिए licensecheck-1.1.5.jar लाइब्रेरी का उपयोग कर सकते हैं ताकि आउट-ऑफ-बैंड हमले की आवश्यकता न हो। कृपया उस तकनीक के लिए विशिष्ट poc देखें।

• इस एक्सप्लॉइट में दुरुपयोग की गई चौथी भेद्यता CVE-2020-4006 के समान है, जिसका उपयोग वास्तविक दुनिया में किया गया था। इस एक्सप्लॉइट में लाभ यह है कि:

  • यह बग पोर्ट 443 को प्रभावित करता है, जो संभवतः उजागर होता है, CVE-2020-4006 के विपरीत जो पोर्ट 8443 को प्रभावित करता है और संभवतः उजागर नहीं होता है।
  • CVE-2020-4006 को क्रॉस-साइट रिक्वेस्ट फोर्जरी के माध्यम से ट्रिगर नहीं किया जा सका; X-Vk हेडर की अपेक्षा की जाती है और इनकमिंग अनुरोध से मान्य किया जाता है।
  • CVE-2020-4006 को अनधिकृत रूट एक्सेस प्राप्त करने के लिए अतिरिक्त भेद्यताओं के साथ श्रृंखलाबद्ध नहीं किया गया था।

  यह एक्सप्लॉइट 0-क्लिक और 1-क्लिक रिमोट कोड निष्पादन प्राप्त करने के लिए 5 भेद्यताओं का उपयोग करता है, जिनका विवरण नीचे दिया गया है।

  1. OAuth2TokenResourceController ACS प्रमाणीकरण बाईपास (CVE-2022-22956)

     CVSS: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) यह भेद्यता एक दूरस्थ, अनधिकृत हमलावर को प्रमाणीकरण तंत्र को बायपास करने और कोई भी ऑपरेशन निष्पादित करने की अनुमति देती है।

  2. BrandingResource getBranding सूचना प्रकटीकरण (CVE-2022-22961)

     CVSS: 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) यह भेद्यता एक दूरस्थ, अनधिकृत हमलावर को लक्ष्य प्रणाली के होस्टनाम को लीक करने की अनुमति देती है, जिसका उपयोग क्लाइंट-साइड हमले के परिदृश्य में पीड़ितों को लक्षित करने के लिए किया जा सकता है।

  3. DBConnectionCheckController dbCheck क्रॉस-साइट रिक्वेस्ट फोर्जरी (CVE-2022-22959)

     CVSS: 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) यह भेद्यता एक हमलावर को उपयोगकर्ताओं को उन मनमाने JDBC URI को मान्य करने के लिए प्रेरित करने की अनुमति देती है जिन्हें वे मान्य नहीं करना चाहते थे।

  4. DBConnectionCheckController dbCheck JDBC इंजेक्शन रिमोट कोड निष्पादन (CVE-2022-22957)

     CVSS: 9.1 (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) यह भेद्यता एक हमलावर को मनमाने Java ऑब्जेक्ट को डीसेरियलाइज़ करने की अनुमति देती है, जो रिमोट कोड निष्पादन की अनुमति दे सकती है।

  5. publishCaCert और gatherConfig विशेषाधिकार वृद्धि (CVE-2022-22960)

     CVSS: 8.8 (AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) यह भेद्यता uid 1001 वाले एक स्थानीय हमलावर को अपने विशेषाधिकारों को रूट एक्सेस तक बढ़ाने की अनुमति देती है।

उदाहरण

PostgreSQL JDBC ड्राइवर एक्सप्लॉइट का उपयोग करके सर्वर-साइड हमला:

MySQL JDBC ड्राइवर एक्सप्लॉइट का उपयोग करके क्लाइंट-साइड हमला: