CVE-2020-8248: Escalação de Privilégios via Exploração de Curinga Zip no Cliente VPN Pulse Secure Linux

O executável root SUID pulsesvc possui uma função "do_upload" que chama de forma insegura um comando zip com curingas ("*"). Ao gravar arquivos com nomes especificamente elaborados, em uma pasta controlada pelo usuário ("~/.pulse_secure/pulse/"), um atacante pode abusar dos curingas para passar flags personalizadas ao executável "zip", resultando em execução de código.

Divulgação NVD:

A divulgação NVD para esta vulnerabilidade pode ser encontrada aqui.

Requisitos:

O exploit tem como alvo o código que é acessado após a autenticação do cliente, o que significa que, para explorar esta vulnerabilidade, um atacante precisaria de um dos 3 cenários:

• Hospedar um servidor Pulse VPN controlado pelo atacante
• Um certificado SSL/TLS válido para hospedar um servidor VPN fictício (Pode ser feito facilmente com soluções como "Let's Encrypt")
• Conectar-se a um servidor Pulse VPN legítimo (Credenciais de usuário/Certificados de cliente podem ser encontrados diretamente no cliente comprometido)

Prova de Conceito:

Mais detalhes e o processo de exploração podem ser encontrados neste PDF.