CVE-2020-3153

Cisco AnyConnect < 4.8.02042 の権限昇格（パストラバーサル経由）

説明

Cisco AnyConnectの自動更新機能は、パストラバーサルの脆弱性の影響を受けます。攻撃者はこの脆弱性を悪用して、システムレベルの権限を取得することができます。

詳細については、以下を参照してください：

• 元のアドバイザリ
• SSDアドバイザリ
• 私のメモ

エクスプロイト

このエクスプロイトは、元のアドバイザリとSSDの記事で説明されている「Cisco署名済みバイナリによってロードされるDLLの乗っ取り」攻撃シナリオを使用します。ただし、このエクスプロイトはcstub.exeの代わりにvpndownloader.exe（同じDLLハイジャックの脆弱性の影響を受けるCisco署名済みバイナリ）を使用します。さらに、スタンドアロンのエクスプロイトとするために、dbghelp.dllをBase64でC#コードに埋め込みました。

使用方法

CVE-2020-3153.exe（CVE-2020-3153/bin/Releaseフォルダ内）を実行するか、「msbuild」バージョン（アプリケーションホワイトリスト登録の場合）を使用してください。SYSTEMシェルが起動します。

CVE-2020-3153用MSBuildランチャー

C#プログラムからMSBuildランチャーが作成されました。アプリケーションホワイトリスト登録の場合や、C#コードを再コンパイルせずにvpndownloader.exeへのパスを変更する場合に使用します。

使用方法： C:\Windows\Microsoft.Net\Framework64\v4.0.30319\MSBuild.exe c:\path\to\CVE-2020-3153.xml

CVE-2020-3153.xmlファイルはmsbuildフォルダにあります。

テスト済みバージョン

このエクスプロイトは、以下のCisco AnyConnectバージョン（32ビット）でWindows 7およびWindows 10上でテストされています：

• 4.5.02036
• 4.6.03049
• 4.7.04056
• 4.8.01090

Cisco AnyConnectの64ビットバージョンはテストしていません。vpndownloader.exeへのパスが異なる可能性があります。

追加情報

• このリポジトリ内のcstub.exeバイナリは、AnyConnect Postureモジュールバージョン4.6.02074から抽出されました。
• C#コードとDLLソースコードの概要は、CVE-2015-6305用のGoogle Project Zero PoCに基づいています：link
• 脆弱性の作者は、AnyConnect 4.7.xおよび4.8.xでのエクスプロイト成功を支援してくれました。引数の値が不足していました：link