wh04m1001/cve-2023-20178Cisco Secure Client 및 AnyConnect의 임의 파일 삭제 취약점에 대한 개념 증명으로, Windows Installer 남용을 통해 SYSTEM으로 권한 상승을 가능하게 합니다.
이는 Cisco Secure Client (5.0.01242에서 테스트) 및 Cisco AnyConnect (4.10.06079에서 테스트)의 임의 파일 삭제 취약점에 대한 PoC입니다.
사용자가 VPN에 연결하면 vpndownloader.exe 프로세스가 백그라운드에서 시작되고, 다음과 같은 형식으로 c:\windows\temp에 기본 권한의 디렉터리를 생성합니다: <random numbers>.tmp 이 디렉터리를 생성한 후 vpndownloader.exe는 해당 디렉터리가 비어 있는지 확인하고, 비어 있지 않으면 그 안의 모든 파일/디렉터리를 삭제합니다. 이 동작은 NT Authority\SYSTEM 계정으로 임의 파일 삭제를 수행하기 위해 남용될 수 있습니다.
임의 파일 삭제는 ZDI 문서(https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks, @KLINIX5 발견)에 설명된 Windows Installer 동작을 남용하여 시스템 cmd 프로세스를 생성하는 데 사용됩니다.
