CVE-2020-3153

Cisco AnyConnect < 4.8.02042 경로 탐색을 통한 권한 상승

설명

Cisco AnyConnect의 자동 업데이트 기능은 경로 탐색(Path Traversal) 취약점의 영향을 받습니다. 공격자는 이 취약점을 악용하여 시스템 수준 권한을 획득할 수 있습니다.

자세한 내용은 다음을 참조하십시오:

• 원본 권고
• SSD 권고
• 내 메모

익스플로잇

이 익스플로잇은 원본 권고와 SSD 게시물에 설명된 'Cisco 서명 바이너리에 의해 로드된 DLL 가로채기' 공격 시나리오를 사용합니다. 그러나 이 익스플로잇은 cstub.exe 대신 vpndownloader.exe(동일한 DLL 하이재킹 취약점의 영향을 받는 Cisco 서명 바이너리)를 사용합니다. 또한, 독립 실행형 익스플로잇을 위해 dbghelp.dll을 Base64로 C# 코드에 포함시켰습니다.

사용법

CVE-2020-3153.exe (CVE-2020-3153/bin/Release 폴더에 있음)를 실행하거나, 애플리케이션 허용 목록(Application Whitelisting)의 경우 "msbuild" 버전을 사용하십시오. SYSTEM 셸이 생성됩니다.

CVE-2020-3153용 MSBuild 실행기

애플리케이션 허용 목록(Application Whitelisting)을 사용하거나 C# 코드를 다시 컴파일하지 않고 vpndownloader.exe의 경로를 변경하기 위해 C# 프로그램으로부터 MSBuild 실행기가 생성되었습니다.

사용법: C:\Windows\Microsoft.Net\Framework64\v4.0.30319\MSBuild.exe c:\path\to\CVE-2020-3153.xml

CVE-2020-3153.xml 파일은 msbuild 폴더에서 찾을 수 있습니다.

테스트된 버전

이 익스플로잇은 Windows 7 및 Windows 10에서 다음 Cisco AnyConnect 버전(32비트)으로 테스트되었습니다:

• 4.5.02036
• 4.6.03049
• 4.7.04056
• 4.8.01090

64비트 Cisco AnyConnect 버전은 테스트하지 않았습니다. vpndownloader.exe의 경로는 다를 수 있습니다.

추가 정보

• 이 저장소의 cstub.exe 바이너리는 AnyConnect Posture 모듈 버전 4.6.02074에서 추출되었습니다.
• C# 코드 및 DLL 소스 코드의 개요는 CVE-2015-6305에 대한 Google Project Zero PoC를 기반으로 합니다: 링크
• 취약점 발견자는 AnyConnect 4.7.x 및 4.8.x에서 성공적인 익스플로잇을 위해 도움을 주었습니다. 인수 값 하나를 빠뜨리고 있었습니다: 링크