CVE-2020-8250: Elevazione dei Privilegi tramite Iniezione di Comandi nel Client Linux Pulse Secure VPN

L'eseguibile SUID di root pulsesvc ha una funzione "do_upload" che passa in modo non sicuro la variabile d'ambiente "HOME" a "system()". Alterando la variabile "HOME" per contenere caratteri speciali di shell (es. "``" o "$()"), un attaccante può iniettare comandi arbitrari quando "do_upload" viene chiamato e può elevare i propri privilegi a root.

Divulgazione ND:

La divulgazione ND per questa vulnerabilità può essere trovata qui.

Requisiti:

L'exploit prende di mira codice che viene accesso dopo l'autenticazione del client, ciò significa che per sfruttare questa vulnerabilità un attaccante avrebbe bisogno di uno dei 3 scenari:

• Ospitare un server Pulse VPN controllato dall'attaccante
• Un certificato SSL/TLS valido per ospitare un server VPN fittizio (Può essere facilmente fatto con soluzioni come "Let's Encrypt")
• Collegarsi a un server Pulse VPN legittimo (credenziali utente/certificati client possono essere trovati direttamente sul client compromesso)

Prova di Concetto:

Maggiori dettagli e il processo di sfruttamento possono essere trovati in questo PDF.