CVE-2018-5353

Zoho ManageEngine ADSelfServicePlus クライアント権限昇格/RCE

情報

ベンダー: Zohocorp
製品: ManageEngine ADSelfServicePlus
影響を受けるバージョン: 5.5ビルド5517より前
研究者: Jason Juntunen 別名 @missing0x00 (https://github.com/missing0x00)
CVSS: 8.8

説明

Zoho ManageEngine ADSelfService Plus 5.5ビルド5517より前のカスタムGINA/CPモジュールは、スプーフィングを介してリモート攻撃者がコードを実行し、権限を昇格させることを可能にします。ブラウザウィンドウを開く前に、目的のサーバーを認証しません。スプーフィング攻撃を実行できる認証されていない攻撃者は、ブラウザをリダイレクトしてWinLogon.exeプロセスのコンテキストで実行権限を取得できます。ネットワークレベル認証が強制されていない場合、この脆弱性はRDPを介して悪用される可能性があります。さらに、Webサーバーの証明書が誤って構成されている場合、スプーフィング攻撃は不要です。

概念実証

1. 利用可能な任意の方法（ARP、物理アクセスなど）を使用してスプーフィング攻撃を実行し、対象のADSSPサーバー宛てのトラフィックをリダイレクトします。
2. 攻撃ホスト上でWebサーバーを実行し、AgentStatusUpdate.ccという名前のバイナリジャンクファイルを提供します。
3. 対象ホストにRDP接続します（NLAが強制されていない場合。それ以外の場合、この攻撃には物理アクセスが必要です）。
4. ログオン画面で「パスワードのリセット」リンクまたはタイルをクリックします。
5. 組み込みクライアントブラウザが攻撃ホスト上のWebサーバーにリダイレクトされ、ファイルダウンロードダイアログが開きます。
6. 「保存」をクリックすると、エクスプローラのダイアログが開きます。
7. Shift+右クリック > 「ここでコマンドウィンドウを開く」

修復

影響を受けるすべてのデバイスでクライアントソフトウェアを更新してください。この脆弱性は、ビルド5517（2018年4月17日）に含まれるクライアントソフトウェアで修正されました。

参照

ベンダーID: ZVE-2018-0058
ベンダーリンク: https://www.manageengine.com/products/self-service-password/release-notes.html
開示リンク: https://github.com/missing0x00/CVE-2018-5353
NIST CVEリンク: https://nvd.nist.gov/vuln/detail/CVE-2018-5353
CVSS計算: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

免責事項

このアドバイザリに含まれる情報は、使用の適合性についての保証なく、「現状のまま」提供されます。このアドバイザリの再配布は、改変せずにフォーマットを変更する場合に限り許可され、適切なクレジットが与えられるものとします。脆弱性データベースなどへの挿入は、著者への適切なクレジットが与えられることを条件に明示的に許可されます。著者は、ここに含まれる情報の誤使用について一切責任を負わず、この情報の使用または誤使用によって生じた損害についての責任を負いません。著者は、セキュリティ関連情報またはエクスプロイトの悪意のある使用を著者または他者によって禁止します。

missingnull