CVE-2018-5354

ANIXIS パスワード リセット クライアントの権限昇格/RCE

情報

ベンダー: ANIXIS
製品: ANIXIS Password Reset Client
影響を受けるバージョン: 3.22 より前のバージョン
研究者: Jason Juntunen aka @missing0x00 (https://github.com/missing0x00)
CVSS: 8.8

説明

ANIXIS Password Reset Client バージョン 3.22 より前のカスタム GINA/CP モジュールは、スプーフィングを介してリモート攻撃者がコードを実行し、権限を昇格させることを可能にします。 クライアントが HTTP を使用するように構成されている場合、ブラウザウィンドウを開く前に意図したサーバーを認証しません。スプーフィング攻撃を実行できる認証されていない攻撃者は、ブラウザをリダイレクトして WinLogon.exe プロセスのコンテキストでコード実行を獲得できます。ネットワークレベル認証が強制されていない場合、この脆弱性は RDP を介して悪用される可能性があります。

概念実証 (PoC)

1. 利用可能な任意の方法 (ARP、物理アクセスなど) を使用してスプーフィング攻撃を実行し、意図したパスワードリセットサーバー宛てのトラフィックをリダイレクトする
2. 攻撃ホスト上で Web サーバーを実行し、pwreset という名前のバイナリのジャンクファイルを配信する
3. ターゲットホストに RDP 接続する (NLA が強制されていない場合 - それ以外の場合はこの攻撃には物理アクセスが必要)
4. ログオン画面で「パスワードのリセット」リンクまたはタイルをクリックする
5. 組み込みのクライアントブラウザーが攻撃ホスト上の Web サーバーにリダイレクトされ、ファイルのダウンロードダイアログが開く
6. 「保存」をクリックすると、エクスプローラーのダイアログが開く
7. Shift+右クリック > 「コマンド ウィンドウをここで開く」

修復策

影響を受けるすべてのデバイスでクライアントソフトウェアを更新してください。この脆弱性はクライアントバージョン 3.22 (2018年1月29日) で修正されました。さらに、サーバーとクライアントが有効な証明書を使用して HTTPS を使用するように構成されていることを確認してください。

参照

ベンダー ID: APRSA005
ベンダーリンク: https://anixis.com/products/apr/default.htm
開示リンク: https://github.com/missing0x00/CVE-2018-5354
NIST CVE リンク: https://nvd.nist.gov/vuln/detail/CVE-2018-5354
CVSS 計算ツール: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

免責事項

このアドバイザリに含まれる情報は、使用への適合性その他についてのいかなる保証もなく「現状有姿」で提供されます。このアドバイザリの再配布は、再フォーマット以外の変更が加えられず、適切なクレジットが付与されることを条件として、ここに許可されます。脆弱性データベースなどへの挿入も、著者への適切なクレジットが付与されることを条件として、明示的に許可されます。著者は、本書に含まれる情報の誤用について一切責任を負わず、この情報の使用または誤用によって生じたいかなる損害についても責任を負いません。著者は、著者自身または他者によるセキュリティ関連情報やエクスプロイトの悪意のある使用を禁止します。

missingnull