CVE-2020-8250: Pulse Secure VPN Linux クライアントにおけるコマンドインジェクションを介した権限昇格

ルート SUID 実行ファイルである pulsesvc には、"do_upload" という関数があり、"HOME" 環境変数を "system()" に安全に渡していません。攻撃者は "HOME" 変数を特殊なシェル文字（例: "``" や "$()"）を含むように変更することで、"do_upload" が呼び出された際に任意のコマンドを注入でき、root への権限を昇格させることができます。

NVD 開示:

この脆弱性に関する NVD の開示はこちらにあります。

要件:

このエクスプロイトは、クライアント認証後にアクセスされるコードを対象としています。つまり、この脆弱性を悪用するには、攻撃者は次の 3 つのシナリオのいずれかが必要です。

• 攻撃者が制御する Pulse VPN サーバーをホストしている
• ダミー VPN サーバーをホストするための有効な SSL/TLS 証明書（"Let's Encrypt" などのソリューションで簡単に取得可能）
• 正規の Pulse VPN サーバーへの接続（ユーザー資格情報/クライアント証明書は、侵害されたクライアント上で直接見つかる可能性があります）

概念実証:

詳細と悪用プロセスは、この PDF に記載されています。