CVE-2020-8250: Escalação de Privilégios via Injeção de Comandos no Cliente Linux do Pulse Secure VPN

O executável root SUID pulsesvc possui uma função “do_upload” que passa de forma insegura a variável de ambiente “HOME” para “system()”. Ao alterar a variável “HOME” para conter caracteres especiais de shell (Ex.: “``” ou “$()”), um atacante pode injetar comandos arbitrários quando “do_upload” é chamado e elevar seus privilégios para root.

Divulgação NVD:

A divulgação da NVD para esta vulnerabilidade pode ser encontrada aqui.

Requisitos:

O exploit tem como alvo código que é acessado após a autenticação do cliente, o que significa que, para explorar esta vulnerabilidade, um atacante precisaria de um dos 3 cenários:

• Hospedar um servidor Pulse VPN controlado pelo atacante
• Um certificado SSL/TLS válido para hospedar um servidor VPN fictício (Pode ser feito facilmente com soluções como “Let’s Encrypt”)
• Conectar-se a um servidor Pulse VPN legítimo (Credenciais de usuário/certificados de cliente podem ser encontrados diretamente no cliente comprometido)

Prova de Conceito:

Mais detalhes e o processo de exploração podem ser encontrados neste PDF.