CVE-2020-3153

Cisco AnyConnect < 4.8.02042 повышение привилегий через обход пути

Описание

Функция автоматического обновления Cisco AnyConnect подвержена уязвимости обхода пути. Злоумышленник может использовать эту уязвимость для получения привилегий системного уровня.

Для получения дополнительных сведений обратитесь к:

• оригинальному уведомлению
• уведомлению SSD
• моим заметкам

Эксплойт

Этот эксплойт использует сценарий атаки «перехват DLL, загружаемой бинарным файлом, подписанным Cisco», описанный в оригинальном уведомлении и в посте SSD. Однако этот эксплойт использует vpndownloader.exe (также бинарный файл, подписанный Cisco, подверженный той же уязвимости перехвата DLL) вместо cstub.exe. Кроме того, я встроил dbghelp.dll в кодировке Base64 в код C#, чтобы получить автономный эксплойт.

Использование

Запустите CVE-2020-3153.exe (в папке CVE-2020-3153/bin/Release) или используйте «msbuild» версию (в случае белого списка приложений). Будет запущена оболочка SYSTEM.

Загрузчик MSBuild для CVE-2020-3153

Загрузчик MSBuild был создан из программы на C# для случаев белого списка приложений или для изменения пути к vpndownloader.exe без перекомпиляции кода C#.

Использование: C:\Windows\Microsoft.Net\Framework64\v4.0.30319\MSBuild.exe c:\path\to\CVE-2020-3153.xml

Файл CVE-2020-3153.xml можно найти в папке msbuild.

Протестированные версии

Этот эксплойт был протестирован на Windows 7 и Windows 10 со следующими версиями Cisco AnyConnect (32-бит):

• 4.5.02036
• 4.6.03049
• 4.7.04056
• 4.8.01090

Я не тестировал 64-битные версии Cisco AnyConnect. Путь к vpndownloader.exe может отличаться.

Дополнительная информация

• Бинарный файл cstub.exe в этом репозитории был извлечен из модуля AnyConnect Posture версии 4.6.02074.
• Структура кода C# и исходного кода DLL основана на PoC Google Project Zero для CVE-2015-6305: link
• Автор уязвимости помог мне в успешной эксплуатации на AnyConnect 4.7.x и 4.8.x. Мне не хватало значения для одного аргумента: link