Hekate - Um Exploit de Execução Remota de Código no VMWare Workspace ONE Access

• Steven Seeley do Instituto de Pesquisa de Vulnerabilidades Qihoo 360
• Servidor MySQL rogue original por LandGrey

Detalhes

• Hekate pronuncia-se heh-ka-teh
• Data: Ter 22 Fev 13:37:00 CST 2022
• Versão: 21.08.0.1 (mais recente)
• Ficheiro: identity-manager-21.08.0.1-19010796_OVF10.ova
• SHA1 do ficheiro: 69e9fb988522c92e98d2910cc106ba4348d61851
• Mais detalhes técnicos: https://srcincite.io/blog/2022/08/11/i-am-whoever-i-say-i-am-infiltrating-vmware-workspace-one-access-using-a-0-click-exploit.html

Resumo

Um atacante não autenticado pode desencadear uma execução remota de código como root contra o appliance vIDM. Além disso, um atacante pode enviar uma ligação especialmente concebida a um operador vítima que, quando clicada, pode alcançar a execução remota de código como root contra o appliance vIDM.

Notas

• As vulnerabilidades neste exploit tiram partido da configuração predefinida do VMWare Workspace ONE Access

• Este repositório contém dois exploits diferentes para alavancar duas técnicas de exploração distintas:

  • autoDeserialize do driver JDBC do MySQL
  • socketFactory do driver JDBC do PostgreSQL

  A técnica de ataque ao PostgreSQL tem a vantagem adicional de não exigir um gadget de desserialização Java para a exploração (mesmo que um exista por predefinição). Como vantagem adicional, pode usar a biblioteca licensecheck-1.1.5.jar para acionar uma desserialização na classe com.vmware.licensecheck.LicenseChecker para que um ataque fora de banda não seja necessário. Consulte o poc específico para essa técnica.

• A 4.ª vulnerabilidade abusada neste exploit é semelhante à CVE-2020-4006, que foi usada em ambiente real. A vantagem neste exploit é que:

  • O bug afeta a porta 443, que provavelmente está exposta, ao contrário da CVE-2020-4006, que afeta a porta 8443 e provavelmente não está exposta.
  • A CVE-2020-4006 não podia ser acionada via cross site request forgery; o cabeçalho X-Vk é esperado e validado a partir do pedido recebido.
  • A CVE-2020-4006 não foi encadeada com vulnerabilidades adicionais para alcançar acesso root não autenticado.

  Este exploit usa 5 vulnerabilidades para alcançar uma execução remota de código de 0-clique e 1-clique, que serão detalhadas abaixo.

  1. Bypass de autenticação do OAuth2TokenResourceController ACS (CVE-2022-22956)

     CVSS: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) Esta vulnerabilidade permite que um atacante remoto não autenticado contorne o mecanismo de autenticação e execute qualquer operação.

  2. Divulgação de informações getBranding do BrandingResource (CVE-2022-22961)

     CVSS: 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) Esta vulnerabilidade permite que um atacante remoto não autenticado divulgue o nome do host do sistema alvo, o que pode ser usado para visar vítimas num cenário de ataque do lado do cliente.

  3. Cross Site Request Forgery do dbCheck do DBConnectionCheckController (CVE-2022-22959)

     CVSS: 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) Esta vulnerabilidade permite que um atacante induza os utilizadores a validar URIs JDBC arbitrários que não pretendiam validar.

  4. Injeção JDBC com Execução Remota de Código no dbCheck do DBConnectionCheckController (CVE-2022-22957)

     CVSS: 9.1 (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) Esta vulnerabilidade permite que um atacante desserialize objetos Java arbitrários, o que pode permitir a execução remota de código.

  5. Escalação de privilégios em publishCaCert e gatherConfig (CVE-2022-22960)

     CVSS: 8.8 (AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) Esta vulnerabilidade permite que um atacante local com o uid 1001 escale os seus privilégios para acesso root.

Exemplo

Atacar o lado do servidor usando o exploit do driver JDBC do PostgreSQL:

Atacar o lado do cliente usando o exploit do driver JDBC do MySQL: