CVE-2020-3433, CVE-2020-3434 및 CVE-2020-3435에 대한 PoC

2020년 5월에 발견된 Cisco AnyConnect Secure Mobility Client for Windows의 세 가지 취약점에 대한 PoC 및 기술 세부 정보:

• CVE-2020-3433 - 높음 (CVSS 점수 7.8) - 로컬 권한 상승
• CVE-2020-3434 - 중간 (CVSS 점수 5.5) - 서비스 거부(DoS)
• CVE-2020-3435 - 중간 (CVSS 점수 5.5) - "Always-On" 우회 (VPN 프로필 수정)

기술 세부 정보는 이 저장소에 있습니다: Details.md

CVE-2020-3433: 권한 상승 (AnyConnect < 4.9.00086)

설명

Windows용 Cisco AnyConnect Secure Mobility Client의 프로세스 간 통신(IPC) 채널의 취약점으로 인해 인증된 로컬 공격자가 DLL 하이재킹 공격을 수행할 수 있습니다. 이 취약점을 악용하려면 공격자가 Windows 시스템에 유효한 자격 증명을 가지고 있어야 합니다.

이 취약점은 런타임에 애플리케이션이 로드하는 리소스에 대한 검증이 불충분하기 때문에 발생합니다. 공격자는 조작된 IPC 메시지를 AnyConnect 프로세스에 전송하여 이 취약점을 악용할 수 있습니다. 성공적인 악용 시 공격자는 영향을 받는 시스템에서 SYSTEM 권한으로 임의 코드를 실행할 수 있습니다. 이 취약점을 악용하려면 공격자가 Windows 시스템에 유효한 자격 증명을 가지고 있어야 합니다.

Cisco 권고

익스플로잇

CVE-2020-3433-privesc.exe를 실행합니다. SYSTEM 셸이 실행됩니다.

CVE-2020-3434: 서비스 거부(DoS) (AnyConnect < 4.9.01095)

설명

Windows용 Cisco AnyConnect Secure Mobility Client의 프로세스 간 통신(IPC) 채널의 취약점으로 인해 인증된 로컬 공격자가 영향을 받는 장치에서 서비스 거부(DoS) 조건을 유발할 수 있습니다. 이 취약점을 악용하려면 공격자가 Windows 시스템에 유효한 자격 증명을 가지고 있어야 합니다.

이 취약점은 사용자 제공 입력에 대한 검증이 불충분하기 때문에 발생합니다. 공격자는 조작된 IPC 메시지를 영향을 받는 장치의 AnyConnect 프로세스에 전송하여 이 취약점을 악용할 수 있습니다. 성공적인 악용 시 공격자는 AnyConnect 프로세스를 중지시켜 장치에서 DoS 조건을 유발할 수 있습니다. 이 취약점을 악용하려면 공격자가 Windows 시스템에 유효한 자격 증명을 가지고 있어야 합니다.

Cisco 권고

익스플로잇

CVE-2020-3434-DoS.exe를 실행합니다. AnyConnect의 VPN Agent 서비스가 중지됩니다.

CVE-2020-3435: VPN 프로필 수정

설명

Windows용 Cisco AnyConnect Secure Mobility Client의 프로세스 간 통신(IPC) 채널의 취약점으로 인해 인증된 로컬 공격자가 영향을 받는 장치의 VPN 프로필을 덮어쓸 수 있습니다. 이 취약점을 악용하려면 공격자가 Windows 시스템에 유효한 자격 증명을 가지고 있어야 합니다.

이 취약점은 사용자 제공 입력에 대한 검증이 불충분하기 때문에 발생합니다. 공격자는 조작된 IPC 메시지를 영향을 받는 장치의 AnyConnect 프로세스에 전송하여 이 취약점을 악용할 수 있습니다. 성공적인 악용 시 공격자는 VPN 프로필 파일을 수정할 수 있습니다. 이 취약점을 악용하려면 공격자가 Windows 시스템에 유효한 자격 증명을 가지고 있어야 합니다.

Cisco 권고

익스플로잇

CVE-2020-3435-profile-modification.exe bypass "C:\path\to\profile\to\overwrite.xml"을 실행합니다. VPN 프로필이 (PoC에 포함된 프로필로) 덮어쓰여집니다. 프로필의 백업이 현재 폴더(현재 날짜와 시간 포함)에 생성됩니다.

또는

CVE-2020-3435-profile-modification.exe restore "C:\path\to\profile.xml"을 실행합니다. C:\path\to\profile.xml이 복원됩니다 (C:\path\to\profile.xml이 C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\profile.xml로 복사됨)

추가 정보

• 이 취약점들은 CVE-2020-3153 취약점 분석 후 발견되었습니다 (제 PoC 및 노트는 여기에서 확인 가능: 링크)
• C# 코드 및 DLL 소스 코드의 개요는 Google Project Zero의 CVE-2015-6305 PoC를 기반으로 합니다: 링크
• AnyConnect 64비트 버전은 테스트하지 않았습니다. vpndownloader.exe의 경로를 수정해야 할 수도 있습니다.

Antoine Goichot - 2020년 9월

GitHub | Twitter | LinkedIn