Exploit Title: OpenVPN Connect for Windows (MSI) - 3.1.0.361 - Повышение привилегий

Дата: 2020-02-28
Автор: Andrew Hess
Ссылка на ПО: https://openvpn.net/client-connect-vpn-for-windows/
Версия: 3.1.0.361 (MSI)
CVE: CVE-2020-9442

История

2019.12.15 - Уязвимость обнаружена
2019.12.15 - Первоначальный контакт с вендором
2020.01.xx - Патч вендора - 3.1.1 (378) бета

Примечания к выпуску 3.1.1 (378) бета

Реализовано исправление проблемы безопасности, связанной с расположением установочных файлов

Описание ПО

Это официальное клиентское программное обеспечение OpenVPN Connect для платформ Windows, разработанное и поддерживаемое OpenVPN Inc. Это рекомендуемая клиентская программа для OpenVPN Access Server для включения VPN для Windows. Последняя версия OpenVPN для Windows доступна на нашем веб-сайте.

Если у вас есть OpenVPN Access Server, рекомендуется загрузить клиентское ПО OpenVPN Connect непосредственно с вашего собственного Access Server, так как оно будет предварительно настроено для использования VPN для Windows. Версия, доступная здесь, не содержит конфигурации для установки соединения, хотя её можно использовать для обновления существующей установки с сохранением настроек.

Описание эксплойта

Разрешительные права на папку «C:\ProgramData\OpenVPN Connect» позволяют злоумышленнику без прав администратора разместить вредоносную DLL рядом с tapinstall.exe. Как только клиент OpenVPN устанавливается или обновляется, вредоносная DLL загружается tapinstall, и выполняется шелл-код.

DLL, которые ищет tapinstall:

DEVRTL.dll SPINF.dll drvstore.dll DEVOBJ.dll newdev.dll VCRUNTIME140.dll

Шаги для воспроизведения

• Поместите вредоносный drvstore.dll в C:\ProgramData\OpenVPN Connect\drivers\tap\amd64\win10
• Установите openvpn-connect-3.1.0.361_signed.msi
• Шелл-код выполняется с учетной записью SYSTEM

Воздействие

Потенциальный злоумышленник получает привилегии системы