CVE-2020-3433、CVE-2020-3434、CVE-2020-3435 の PoC

2020年5月に Windows 向け Cisco AnyConnect Secure Mobility Client で発見された 3 つの脆弱性に関する PoC と技術的詳細:

• CVE-2020-3433 - 高 (CVSS スコア 7.8) - ローカル権限昇格
• CVE-2020-3434 - 中 (CVSS スコア 5.5) - サービス拒否 (DoS)
• CVE-2020-3435 - 中 (CVSS スコア 5.5) - "Always-On" バイパス (VPN プロファイルの変更)

技術的な詳細はこのリポジトリにあります: Details.md

CVE-2020-3433: 権限昇格 (AnyConnect < 4.9.00086)

説明

Windows 向け Cisco AnyConnect Secure Mobility Client のプロセス間通信 (IPC) チャネルに存在する脆弱性により、認証されたローカル攻撃者が DLL ハイジャック攻撃を実行できる可能性があります。この脆弱性を悪用するには、攻撃者は Windows システム上で有効な資格情報を保有している必要があります。

この脆弱性は、アプリケーションが実行時に読み込むリソースの検証が不十分であることに起因します。攻撃者は、細工された IPC メッセージを AnyConnect プロセスに送信することで、この脆弱性を悪用する可能性があります。悪用に成功すると、攻撃者は影響を受けるマシン上で SYSTEM 権限で任意のコードを実行できる可能性があります。この脆弱性を悪用するには、攻撃者は Windows システム上で有効な資格情報を保有している必要があります。

Cisco Advisory

エクスプロイト

CVE-2020-3433-privesc.exe を実行します。SYSTEM シェルが起動します。

CVE-2020-3434: サービス拒否 (AnyConnect < 4.9.01095)

説明

Windows 向け Cisco AnyConnect Secure Mobility Client のプロセス間通信 (IPC) チャネルに存在する脆弱性により、認証されたローカル攻撃者が影響を受けるデバイス上でサービス拒否 (DoS) 状態を引き起こす可能性があります。この脆弱性を悪用するには、攻撃者は Windows システム上で有効な資格情報を保有している必要があります。

この脆弱性は、ユーザー指定の入力の検証が不十分であることに起因します。攻撃者は、影響を受けるデバイス上の AnyConnect プロセスに細工された IPC メッセージを送信することで、この脆弱性を悪用する可能性があります。悪用に成功すると、攻撃者は AnyConnect プロセスを停止させ、デバイス上に DoS 状態を引き起こす可能性があります。この脆弱性を悪用するには、攻撃者は Windows システム上で有効な資格情報を保有している必要があります。

Cisco Advisory

エクスプロイト

CVE-2020-3434-DoS.exe を実行します。AnyConnect の VPN Agent サービスが停止します。

CVE-2020-3435: VPN プロファイルの変更

説明

Windows 向け Cisco AnyConnect Secure Mobility Client のプロセス間通信 (IPC) チャネルに存在する脆弱性により、認証されたローカル攻撃者が影響を受けるデバイス上で VPN プロファイルを上書きできる可能性があります。この脆弱性を悪用するには、攻撃者は Windows システム上で有効な資格情報を保有している必要があります。

この脆弱性は、ユーザー指定の入力の検証が不十分であることに起因します。攻撃者は、影響を受けるデバイス上の AnyConnect プロセスに細工された IPC メッセージを送信することで、この脆弱性を悪用する可能性があります。悪用に成功すると、攻撃者は VPN プロファイルファイルを変更できる可能性があります。この脆弱性を悪用するには、攻撃者は Windows システム上で有効な資格情報を保有している必要があります。

Cisco Advisory

エクスプロイト

CVE-2020-3435-profile-modification.exe bypass "C:\path\to\profile\to\overwrite.xml" を実行します。VPN プロファイルは (PoC に埋め込まれたプロファイルによって) 上書きされます。プロファイルのバックアップは、現在のフォルダーに (現在の日付と時刻付きで) 作成されます。

または

CVE-2020-3435-profile-modification.exe restore "C:\path\to\profile.xml" を実行します。C:\path\to\profile.xml が復元されます (C:\path\to\profile.xml will be copied が C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\profile.xml にコピーされます)。

追加情報

• これらの脆弱性は、CVE-2020-3153 の脆弱性の分析後に発見されました (私の PoC とメモはこちら: link)
• C# コードと DLL ソースコードの概要は、CVE-2015-6305 に対する Google Project Zero の PoC に基づいています: link
• AnyConnect 64 ビット版はテストしていません。vpndownloader.exe へのパスはおそらく変更する必要があります。

Antoine Goichot - 2020年9月

GitHub | Twitter | LinkedIn