CVE-2018-5353

Zoho ManageEngine ADSelfServicePlus - Escalation dei privilegi client/RCE

Informazioni

Fornitore: Zohocorp
Prodotto: ManageEngine ADSelfServicePlus
Versioni interessate: Prima della build 5517 della versione 5.5
Ricercatore: Jason Juntunen alias @missing0x00 (https://github.com/missing0x00)
CVSS: 8.8

Descrizione

Il modulo GINA/CP personalizzato in Zoho ManageEngine ADSelfService Plus prima della build 5517 della versione 5.5 consente ad attaccanti remoti di eseguire codice e aumentare i privilegi tramite spoofing. Non autentica il server previsto prima di aprire una finestra del browser. Un attaccante non autenticato in grado di condurre un attacco di spoofing può reindirizzare il browser per ottenere l'esecuzione nel contesto del processo WinLogon.exe. Se l'autenticazione a livello di rete (NLA) non è applicata, la vulnerabilità può essere sfruttata tramite RDP. Inoltre, se il server web presenta un certificato configurato in modo errato, non è richiesto alcun attacco di spoofing.

Prova di concetto

1. Condurre un attacco di spoofing utilizzando qualsiasi metodo disponibile (ARP, accesso fisico, ecc.), reindirizzando il traffico destinato al server ADSSP previsto
2. Eseguire un server web sull'host attaccante, servendo un file binario spazzatura denominato AgentStatusUpdate.cc
3. Connettersi via RDP all'host di destinazione (se NLA non è applicata - altrimenti questo attacco richiede accesso fisico)
4. Fare clic sul collegamento o sul riquadro "Reset Password" nella schermata di accesso
5. Il browser client integrato verrà reindirizzato al server web sull'host attaccante, aprendo la finestra di dialogo di download del file
6. Fare clic su Salva, aprendo la finestra di dialogo di Esplora file
7. Maiusc+Fare clic con il tasto destro > "Apri qui la finestra dei comandi"

Rimedio

Aggiornare il software client su tutti i dispositivi interessati. Questa vulnerabilità è stata corretta nel software client incluso nella build 5517 (17 aprile 2018).

Riferimenti

ID fornitore: ZVE-2018-0058
Link fornitore: https://www.manageengine.com/products/self-service-password/release-notes.html
Link di divulgazione: https://github.com/missing0x00/CVE-2018-5353
Link CVE NIST: https://nvd.nist.gov/vuln/detail/CVE-2018-5353
Calcolo CVSS: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Disclaimer

Le informazioni contenute in questo advisory sono fornite "così come sono", senza garanzie o assicurazioni di idoneità all'uso o altro. Con la presente è concessa l'autorizzazione alla ridistribuzione di questo advisory, a condizione che non venga alterato se non riformattandolo e che venga dato il giusto credito. L'autorizzazione è esplicitamente concessa per l'inserimento in database di vulnerabilità e simili, a condizione che venga dato il giusto credito all'autore. L'autore non è responsabile per qualsiasi uso improprio delle informazioni qui contenute e non accetta alcuna responsabilità per i danni causati dall'uso o dall'abuso di queste informazioni. L'autore vieta qualsiasi uso dannoso delle informazioni relative alla sicurezza o degli exploit da parte dell'autore o altrove.

missingnull