PoC для CVE-2020-3433, CVE-2020-3434 и CVE-2020-3435

PoC и технические подробности для трех уязвимостей, обнаруженных в Cisco AnyConnect Secure Mobility Client для Windows в мае 2020 года:

• CVE-2020-3433 - Высокий (оценка CVSS 7.8) - локальное повышение привилегий
• CVE-2020-3434 - Средний (оценка CVSS 5.5) - отказ в обслуживании
• CVE-2020-3435 - Средний (оценка CVSS 5.5) - обход режима «Always-On» (изменение профиля VPN)

Технические подробности доступны в этом репозитории: Details.md

CVE-2020-3433: Повышение привилегий (AnyConnect < 4.9.00086)

Описание

Уязвимость в канале межпроцессного взаимодействия (IPC) Cisco AnyConnect Secure Mobility Client для Windows может позволить аутентифицированному локальному злоумышленнику выполнить атаку с перехватом DLL. Для эксплуатации этой уязвимости злоумышленнику потребуются действительные учетные данные в системе Windows.

Уязвимость вызвана недостаточной проверкой ресурсов, загружаемых приложением во время выполнения. Злоумышленник может воспользоваться этой уязвимостью, отправив специально сформированное IPC-сообщение процессу AnyConnect. Успешная эксплуатация может позволить злоумышленнику выполнить произвольный код на затронутой машине с привилегиями SYSTEM. Для эксплуатации этой уязвимости злоумышленнику потребуются действительные учетные данные в системе Windows.

Cisco Advisory

Эксплойт

Запустите CVE-2020-3433-privesc.exe. Появится оболочка с правами SYSTEM

CVE-2020-3434: Отказ в обслуживании (AnyConnect < 4.9.01095)

Описание

Уязвимость в канале межпроцессного взаимодействия (IPC) Cisco AnyConnect Secure Mobility Client для Windows может позволить аутентифицированному локальному злоумышленнику вызвать состояние отказа в обслуживании (DoS) на затронутом устройстве. Для эксплуатации этой уязвимости злоумышленнику потребуются действительные учетные данные в системе Windows.

Уязвимость вызвана недостаточной проверкой пользовательского ввода. Злоумышленник может воспользоваться этой уязвимостью, отправив специально сформированное IPC-сообщение процессу AnyConnect на затронутом устройстве. Успешная эксплуатация может позволить злоумышленнику остановить процесс AnyConnect, что приведет к состоянию DoS на устройстве. Для эксплуатации этой уязвимости злоумышленнику потребуются действительные учетные данные в системе Windows.

Cisco Advisory

Эксплойт

Запустите CVE-2020-3434-DoS.exe. Служба VPN Agent AnyConnect остановится.

CVE-2020-3435: Изменение профиля VPN

Описание

Уязвимость в канале межпроцессного взаимодействия (IPC) Cisco AnyConnect Secure Mobility Client для Windows может позволить аутентифицированному локальному злоумышленнику перезаписать профили VPN на затронутом устройстве. Для эксплуатации этой уязвимости злоумышленнику потребуются действительные учетные данные в системе Windows.

Уязвимость вызвана недостаточной проверкой пользовательского ввода. Злоумышленник может воспользоваться этой уязвимостью, отправив специально сформированное IPC-сообщение процессу AnyConnect на затронутом устройстве. Успешная эксплуатация может позволить злоумышленнику изменить файлы профилей VPN. Для эксплуатации этой уязвимости злоумышленнику потребуются действительные учетные данные в системе Windows.

Cisco Advisory

Эксплойт

Запустите CVE-2020-3435-profile-modification.exe bypass "C:\path\to\profile\to\overwrite.xml". Профиль VPN будет перезаписан (профилем, встроенным в PoC). Резервная копия профиля будет сохранена в текущей папке (с текущей датой и временем).

ИЛИ

Запустите CVE-2020-3435-profile-modification.exe restore "C:\path\to\profile.xml". C:\path\to\profile.xml будет восстановлен (C:\path\to\profile.xml will be copied to C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\profile.xml)

Дополнительная информация

• Эти уязвимости были обнаружены после анализа уязвимости CVE-2020-3153 (мой PoC и мои заметки доступны здесь: ссылка)
• Структура кода на C# и исходный код DLL основаны на PoC от Google Project Zero для CVE-2015-6305: ссылка
• Я не тестировал 64-битные версии AnyConnect. Путь к vpndownloader.exe, вероятно, следует изменить.

Антуан Гойшо - Сентябрь 2020

GitHub | Twitter | LinkedIn