エクスプロイトタイトル: OpenVPN Connect for Windows (MSI) - 3.1.0.361 - 特権昇格

日付: 2020-02-28
作者: Andrew Hess
ソフトウェアリンク: https://openvpn.net/client-connect-vpn-for-windows/
バージョン: 3.1.0.361 (MSI)
CVE: CVE-2020-9442

履歴

2019.12.15 - 脆弱性を発見
2019.12.15 - ベンダーとの初期連絡
2020.01.xx - ベンダーパッチ - 3.1.1 (378) beta

3.1.1 (378) beta のリリースノート

インストールファイルの場所に関連するセキュリティ問題の修正を実装

ソフトウェアの説明

これは、OpenVPN Inc. によって開発および保守されている、Windows ワークステーションプラットフォーム向けの公式 OpenVPN Connect クライアントソフトウェアです。これは、OpenVPN Access Server が Windows 向け VPN を有効にするために推奨されるクライアントプログラムです。最新バージョンの OpenVPN for Windows は、当社のウェブサイトから入手できます。

OpenVPN Access Server をお持ちの場合は、ご自身の Access Server から直接 OpenVPN Connect クライアントソフトウェアをダウンロードすることをお勧めします。そうすることで、Windows 向け VPN 用に事前設定された状態で入手できます。ここで入手可能なバージョンには接続用の設定は含まれていませんが、既存のインストールを更新し、設定を保持するために使用できます。

エクスプロイトの説明

"C:\ProgramData\OpenVPN Connect" の緩いフォルダー権限により、管理者権限のない攻撃者が tapinstall.exe の隣に悪意のある DLL を配置できるようになります。

OpenVPN クライアントがインストールまたはアップグレードされるとすぐに、悪意のある DLL が tapinstall によって読み込まれ、シェルコードが実行されます。

tapinstall によって検索される DLL:

DEVRTL.dll SPINF.dll drvstore.dll DEVOBJ.dll newdev.dll VCRUNTIME140.dll

再現手順

• 悪意のある drvstore.dll を C:\ProgramData\OpenVPN Connect\drivers\tap\amd64\win10 に配置する
• openvpn-connect-3.1.0.361_signed.msi をインストールする
• シェルコードが SYSTEM アカウントで実行される

影響

攻撃者がシステム特権を取得する可能性がある