CVE-2021-1366

Cisco AnyConnect Posture (HostScan) 로컬 권한 상승: CVE-2021-1366 Windows용 Cisco AnyConnect Secure Mobility Client의 프로세스 간 통신(IPC) 채널에 존재하는 취약점으로 인해, AnyConnect 클라이언트에 VPN Posture(HostScan) 모듈이 설치된 경우 인증된 로컬 공격자가 영향을 받는 장치에서 DLL 하이재킹 공격을 수행할 수 있습니다.
이 POC는 2개의 priv_file_copy IPC 명령을 Cisco Security Service ciscod.exe에 전송하여 2개의 DLL을 C:\Program Files(x86)\Cisco\Cisco HostScan\bin\ 디렉터리로 복사합니다. Cisco Security Service가 다시 시작되면 ciscod.exe가 악성 dbghelp.dll을 로드합니다(DLL 프록싱 사용).

Prerequisites

• %TEMP% 폴더에 Cisco\Cisco HostScan 디렉터리 생성
• DLL 프록싱에 사용할 악성 DLL 생성 (https://itm4n.github.io/dll-proxying/ 참조)
• DLL 이름을 dbghelp.dll로 지정하고 %TEMP%\Cisco\Cisco HostScan 폴더에 복사
• Windows 원본 "C:\Windows\SysWOW64\dbghelp.dll"을 %TEMP%\Cisco\Cisco HostScan 폴더에 복사하고 dbghelp_orig.dll로 이름 변경
• 프로세스 할로잉 도구 준비 (예: https://github.com/ivkin25/Process-Hollowing)

Instructions

• 이 POC 컴파일
• 다음 명령을 실행하여 ciscod.exe에 대한 프로세스 할로잉을 수행하고, 2개의 IPC 명령을 전송하는 이 POC 프로세스로 대체합니다.

ProcessHollowing.exe C:\Program Files(x86)\Cisco\Cisco HostScan\bin\ciscod.exe CVE-2021-1366.exe

• 2개의 DLL dbghelp.dll 및 dbghelp_orig.dll이(가) C:\Program Files(x86)\Cisco\Cisco HostScan\bin\에 복사되어야 합니다.
• 서비스를 다시 시작하고 악성 DLL이 로드될 때까지 기다립니다.

참고 자료

https://www.coresecurity.com/core-labs/articles/analysis-cisco-anyconnect-posture-hostscan-local-privilege-escalation-cve-2021
https://www.coresecurity.com/core-labs/advisories/cisco-anyconnect-posture-hostscan-security-service-local-privilege-escalation
https://itm4n.github.io/dll-proxying/
https://github.com/ivkin25/Process-Hollowing