CVE-2020-8248: Повышение привилегий через эксплуатацию подстановочных символов Zip в Pulse Secure VPN Linux Client

Исполняемый файл pulsesvc с битом SUID от root имеет функцию do_upload, которая небезопасно вызывает команду zip с подстановочными символами (*). Записывая файлы с особым образом созданными именами в управляемую пользователем папку (~/.pulse_secure/pulse/), злоумышленник может злоупотребить подстановочными символами для передачи пользовательских флагов исполняемому файлу zip, что приводит к выполнению кода.

Раскрытие NVD:

Раскрытие NVD для этой уязвимости можно найти здесь.

Требования:

Эксплойт нацелен на код, доступный после аутентификации клиента, то есть для эксплуатации этой уязвимости злоумышленнику потребуется один из трех сценариев:

• Размещение управляемого злоумышленником сервера Pulse VPN
• Действительный сертификат SSL/TLS для размещения фиктивного VPN-сервера (можно легко сделать с помощью решений, таких как Let's Encrypt)
• Подключение к легитимному серверу Pulse VPN (учетные данные пользователя/клиентские сертификаты могут быть найдены непосредственно на скомпрометированном клиенте)

Подтверждение концепции:

Более подробная информация и процесс эксплуатации могут быть найдены в этом PDF.