CVE-2021-1366

Cisco AnyConnect Posture（HostScan）のローカル権限昇格：CVE-2021-1366 Windows向けCisco AnyConnect Secure Mobility Clientのプロセス間通信（IPC）チャネルの脆弱性により、認証済みのローカル攻撃者が、AnyConnectクライアントにVPN Posture（HostScan）モジュールがインストールされている場合、影響を受けるデバイス上でDLLハイジャック攻撃を実行できる可能性があります。 このPOCは、Cisco Security Service ciscod.exe に対して2つの priv_file_copy IPCコマンドを送信し、2つのDLLを C:\Program Files(x86)\Cisco\Cisco HostScan\bin\ ディレクトリにコピーします。Cisco Security Serviceの再起動後、ciscod.exe は悪意のあるdbghelp.dll（DLLプロキシを使用）をロードします。

前提条件

• %TEMP% フォルダ内に Cisco\Cisco HostScan ディレクトリを作成する
• DLLプロキシに使用する悪意のあるDLLを作成する（https://itm4n.github.io/dll-proxying/ を参照）
• DLLに dbghelp.dll という名前を付け、フォルダ %TEMP%\Cisco\Cisco HostScan にコピーする
• Windowsオリジナルの "C:\Windows\SysWOW64\dbghelp.dll" をフォルダ %TEMP%\Cisco\Cisco HostScan にコピーし、dbghelp_orig.dll にリネームする
• プロセスハロウイングツールを準備する（例：https://github.com/ivkin25/Process-Hollowing）

手順

• このPOCをコンパイルする
• 以下のコマンドを実行すると、ciscod.exe のプロセスハロウイングが実行され、このPOCプロセスに置き換わり、2つのIPCコマンドが送信されます。

ProcessHollowing.exe C:\Program Files(x86)\Cisco\Cisco HostScan\bin\ciscod.exe CVE-2021-1366.exe

• 2つのDLL、dbghelp.dll と dbghelp_orig.dll が C:\Program Files(x86)\Cisco\Cisco HostScan\bin\ にコピーされるはずです。
• サービスを再起動し、悪意のあるDLLがロードされるのを待ちます。

参考文献

https://www.coresecurity.com/core-labs/articles/analysis-cisco-anyconnect-posture-hostscan-local-privilege-escalation-cve-2021
https://www.coresecurity.com/core-labs/advisories/cisco-anyconnect-posture-hostscan-security-service-local-privilege-escalation
https://itm4n.github.io/dll-proxying/
https://github.com/ivkin25/Process-Hollowing