Título do Exploit: OpenVPN Connect para Windows (MSI) - 3.1.0.361 - Escalação de Privilégio

Data: 2020-02-28
Autor: Andrew Hess
Link do Software: https://openvpn.net/client-connect-vpn-for-windows/
Versão: 3.1.0.361 (MSI)
CVE: CVE-2020-9442

Histórico

2019.12.15 - Vulnerabilidade descoberta
2019.12.15 - Contato inicial com o fornecedor
2020.01.xx - Correção do fornecedor - 3.1.1 (378) beta

Notas de lançamento para 3.1.1 (378) beta

Implementada uma correção para um problema de segurança relacionado à localização dos arquivos de instalação

Descrição do software

Este é o software cliente oficial do OpenVPN Connect para plataformas de estação de trabalho Windows, desenvolvido e mantido pela OpenVPN Inc. Este é o programa cliente recomendado para o OpenVPN Access Server para habilitar VPN para Windows. A versão mais recente do OpenVPN para Windows está disponível em nosso site.

Se você possui um OpenVPN Access Server, é recomendado baixar o software cliente OpenVPN Connect diretamente do seu próprio Access Server, pois ele virá pré-configurado para uso com VPN para Windows. A versão disponível aqui não contém configuração para estabelecer uma conexão, embora possa ser usada para atualizar uma instalação existente e reter as configurações.

Descrição do exploit

A permissão permissiva da pasta em "C:\ProgramData\OpenVPN Connect" permite que um atacante sem direitos de administrador coloque uma DLL maliciosa ao lado de tapinstall.exe. Assim que o cliente OpenVPN é instalado ou atualizado, a DLL maliciosa é carregada pelo tapinstall e o shellcode é executado.

DLLs pesquisadas por tapinstall:

DEVRTL.dll SPINF.dll drvstore.dll DEVOBJ.dll newdev.dll VCRUNTIME140.dll

Passos para Reproduzir

• Colocar uma drvstore.dll maliciosa em C:\ProgramData\OpenVPN Connect\drivers\tap\amd64\win10
• Instalar openvpn-connect-3.1.0.361_signed.msi
• O shellcode é executado com a conta SYSTEM

Impacto

Um possível atacante obtém privilégios de sistema